Rukunin VPN na dual-stack: magance dukan iyalai biyu a strongSwan

Ƙofar shiga na iya ba ɗan tafiya adireshin IPv4 da IPv6 na kan layi tare, yayin da tunnel na waje har yanzu yana tafiya bisa IPv4. Waɗannan shawarwari ne masu zaman kansu, kuma ɗaukar su a matsayin ɗaya shine inda shirye-shiryen dual-stack sukan wargaje. Iyalan ciki na abokin ciniki, prefiks ɗin da aka kare da zai iya isa, da jigilar da ke ɗaukar encapsulation uku ne daban-daban zaɓuɓɓuka.

Mafi yawan rikicewa yana zuwa daga amfani da kalmar dual-stack a kan tsari wanda dual-stack ne a wuri ɗaya kawai. Sabis na iya zama dual-stack a ciki, single-stack a adireshinsa na waje, kuma har yanzu yana aiki sosai ga abokan ciniki. Abin da ba zai iya ba shine yin aiki da haɗari.

Iyalai biyu a ciki, hanya ɗaya a waje

Haɗin waje shine IKE bisa UDP, kuma yana buƙatar iyalin adireshi ɗaya da za a iya isa daga duk inda abokin ciniki yake. Adireshin IPv6 na ciki baya buƙatar ISP mai goyon bayan IPv6, domin fakitin ciki kaya ne a cikin na waje. Yawancin turawa masu aiki suna ɗaukar prefiks ɗin IPv6 ta hanyar haɗin sama wanda ke da IPv4 kawai.

Abin da hanyar waje take iyakance shi ne isa da wucewar NAT. Idan ƙofar shiga tana sanar da adireshin IPv4 kawai, abokin ciniki a cibiyar sadarwar IPv6 kawai ba zai iya haɗawa kwata-kwata ba, duk rukunin da ka saita. Yanke shawara kan iyalin waje daga yawan abokan cinikinka, ba daga shirin adireshi na ciki ba.

Ba abokin ciniki adireshi a kowane iyali

Neman iyalai biyu bayani ne na layi ɗaya a gefen abokin ciniki, muddin ƙofar shiga tana da abin da za ta raba. Rukunin da aka yi wa suna suna riƙe tushe dabam daga cibiyoyin sadarwar sabis, kuma wannan ita ce sifar da ke sa ka’idojin wuta a iya karantawa bayan wata shida.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Ƙimar vips tana neman adireshi daga kowane iyali, kuma jerin rukuni ne ke yanke shawarar inda waɗannan adireshi suka fito. Takardun strongSwan game da IP na kan layi sun ƙunshi buƙatu da yawa da rabon rukuni, gami da batun cewa abokin ciniki da ke neman takamaiman adireshi yana bayyana fifiko ne kawai wanda mai amsa zai iya soke shi. Kada ka gina ka’idar shiga da ke ɗauka cewa abokin ciniki koyaushe yana samun ƙima ɗaya.

Ƙirƙiri naka prefiks na gida na musamman maimakon kwafin na misali. Ƙungiyoyi biyu da dukansu fd42::/16 suka tura shi za su gano karon a karon farko da suka haɗa juna, kuma gano hakan ba abin daɗi ba ne.

Masu zaɓe suna bayyana wurare, ba tushe ba

Masu zaɓen zirga-zirga na gida na SA ɗan suna faɗin waɗanne cibiyoyin sadarwa da aka kare suke bayan ƙofar shiga, kuma masu zaɓe na nesa suna bayyana abin da abokin ciniki zai iya amfani da shi a matsayin tushe. Adireshin rukunin kan layi na gefen tushe na wannan manufar; saka shi cikin jerin wurare kuskuren karatu ne da ya zama ruwan dare.

Iyalai biyu suna buƙatar hanyoyin dawowa da izinin turawa a ƙofar shiga. Ƙara prefiks zuwa mai zaɓe ba tare da hanya ta komawa rukunin ba yana haifar da tunnel da ke kafuwa, yana wucewa hanya ɗaya ta zirga-zirga, sannan yana zubar da amsa a hankali. Mai zaɓe manufa ce, ba turawa ba.

Riƙe rukunin da prefiks ɗin sabis a cikin sassa dabam na shirin adireshinka. Idan sun yi karo, hanyar da ya kamata ta isa mai masaukin da aka kare na iya dacewa da adireshin rukuni kuma ta ɓace cikin tunnel.

DNS da hanyar amsa suna yanke shawarar ko yana jin an gama

Amsoshin mai warwarewa sun dogara ne da jigilar da ake amfani da ita don isa mai warwarewa. Suna iya dawo da rikodin A, rikodin AAAA ko duka biyu, kuma abokin ciniki yana zaɓa bisa ga ka’idojin fifikonsa. Idan sabis na ciki ya wallafa rikodin AAAA amma babu abin da ke tura wannan prefiks, abokan ciniki a cibiyoyin sadarwar dual-stack za su gwada hanyar IPv6 da farko kuma su zauna a can har sai ta kasa. Babu abin da ke nuna kuskure a cikin saitin tunnel yayin da hakan ke faruwa.

Don haka yanke shawara ga kowane suna waɗanne iyalai ya kamata su kasance masu amfani, sannan duba cewa prefiks ɗin da ya dace yana cikin mai zaɓe kuma yana da hanyar dawowa. Wannan shawara ce ta kowane sabis. Wallafa dukan nau’ikan rikodi biyu ba tare da bambanci ba shine yadda sabis mai aiki na IPv4 kawai zai fara ƙarewa ga rabin masu amfani da shi.

Tabbatar da iyalai biyu kafin ka kira shi an gama

Saitin da ke lodawa ba shine saitin da ke aiki ba. Karanta yanayin da daemon ya bayar, tabbatar da rabon rukuni, sannan ka duba hanyoyin da abokin ciniki ya shigar da gaske.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Umarnin biyu na farko suna nuna SA ɗan da aka kafa da waɗanne rukunin da har yanzu suke da adireshi, don haka shirin da ke aiki ga abokin ciniki na farko kuma ya kasa ga na goma zai bayyana. Biyun ƙarshe suna nuna ko abokin ciniki ya sami adireshin IPv6 na duniya daga rukunin da kuma inda zirga-zirga zuwa prefiks ɗin da aka kare zai tafi da gaske. Kwatanta adireshin da aka raba da rukunin da ka saita, ba da adireshin da ka yi fata ba. Idan mai amsa ya zaɓi wata ƙima bisa manufarsa, hanyoyi da ka’idojin wuta dole ne su dace da abin da ya zaɓa.

Sannan gwada mai masauki ɗaya da aka kare ga kowane iyali, kuma gwada sunan da ke warwarewa zuwa duka biyu. Gwajin iyali ɗaya ba ya gaya maka komai game da rabin shirin da ba ka yi ba, kuma wannan rabin shine yawanci inda hanyar da ta ɓace take.