strongSwan के साथ डुअल-स्टैक IKEv2 निजी पहुँच की योजना

डुअल-स्टैक टनल एक निर्णय नहीं बल्कि तीन हैं, और उनके उत्तर अलग-अलग दिए जा सकते हैं। बाहरी टनल किस परिवार पर चलती है, क्लाइंट को अंदर कौन-से परिवार मिलते हैं, और संरक्षित सेवाएँ वास्तव में किन परिवारों पर उत्तर देती हैं। जो डिज़ाइन इन्हें एक ही चुनाव मानता है, वह या तो ऐसा IPv6 ले जाता है जिसकी कभी आवश्यकता नहीं थी, या ऐसे पते बाँटता है जिन्हें कोई वापस रूट नहीं कर सकता। तीनों को अलग करें और बाकी कॉन्फ़िगरेशन लगभग यांत्रिक हो जाता है।

तीन तरह के पते, अलग-अलग तय किए गए

बाहरी पता यह है कि दो गेटवे एक-दूसरे तक कैसे पहुँचते हैं, और यह IPv4 हो सकता है जबकि भीतरी ट्रैफ़िक दोनों परिवार ले जाता है। भीतरी वर्चुअल पता टनल के भीतर क्लाइंट की पहचान है, और हर परिवार को अपना पूल चाहिए। संरक्षित प्रीफ़िक्स वह हैं जहाँ तक क्लाइंट पहुँच सकता है, और वे टनल के नहीं बल्कि सेवाओं के हैं। तीसरे को दूसरे से मिलाना अधिकांश योजना त्रुटियों का कारण है, क्योंकि दोनों निजी रेंज जैसे दिखते हैं।

केवल IPv4 बाहरी परिवहन के साथ डुअल-स्टैक भीतरी ट्रैफ़िक एक सामान्य और अच्छी तरह समर्थित व्यवस्था है।

हर एक को स्पष्ट रूप से तय करें और निर्णय लिख लें। यदि बाहरी मार्ग केवल IPv4 है, तो यह कहें और IPv6 एंडपॉइंट की पहुँच की चिंता करना छोड़ दें। यदि किसी परिवार को अंदर आवंटित किया जाता है पर उस पर कुछ भी उत्तर नहीं देता, तो या तो उसे योजना से हटा दें या उन सेवाओं को वास्तव में डुअल-स्टैक बनाएँ।

हर परिवार में एक वर्चुअल पता आवंटित करें

swanctl कॉन्फ़िगरेशन में क्लाइंट वर्चुअल पते माँगता है, और हर परिवार में एक वाइल्डकार्ड उत्तरदाता से हर एक में से एक आवंटित करने को कहता है। उत्तरदाता उन्हें पूल से लेता है, और पूल गेटवे के पीछे के नेटवर्क से अलग वस्तुएँ हैं। उन्हें योजना में भी अलग रखें, क्योंकि सेवा प्रीफ़िक्स के साथ ओवरलैप करता पूल ऐसा रूटिंग बनाता है जो ट्रैफ़िक के अनपेक्षित स्थान पर पहुँचने तक सही दिखता है।

जब दोनों चाहिए तब दोनों परिवार माँगें, और जब नहीं चाहिए तब एक, क्योंकि अप्रयुक्त पता बिना लाभ की नीति-सतह है। विशिष्ट अनुरोध अनुरोध है, आरक्षण नहीं, और उत्तरदाता अपनी नीति के अंतर्गत भिन्न मान लौटा सकता है। वह विवरण वहाँ मायने रखता है जहाँ पता फ़ायरवॉल नियम या मॉनिटरिंग जाँच में कठोरता से लिखा हो। कनेक्शन में पूलों का नाम से संदर्भ दें और सेवा नेटवर्क उनसे बाहर रखें।

vips = 0.0.0.0, ::

छोटे उदाहरण मान को अपनाने के बजाय IPv6 पूल के लिए अपना अद्वितीय-स्थानीय प्रीफ़िक्स बनाएँ। उदाहरण सेटिंग का आकार दिखाता है, विरासत में लेने योग्य डिफ़ॉल्ट नहीं।

पूल से अलग गंतव्यों का वर्णन करें

ट्रैफ़िक चयनकर्ता बताते हैं कि हर पक्ष क्या बदलना चाहता है, इसलिए गेटवे के स्थानीय चयनकर्ताओं को संरक्षित सेवा प्रीफ़िक्स के नाम देने चाहिए, क्लाइंट पूल के नहीं। क्लाइंट के दूरस्थ चयनकर्ता उस मंशा को दर्शाते हैं। जब दोनों सूचियाँ अलग वस्तुओं का वर्णन करती हैं, तब टनल ऊपर आ सकती है और फिर भी कुछ उपयोगी नहीं ले जाती।

उन्हीं प्रीफ़िक्स को गेटवे के नेटवर्क के भीतर वापसी मार्ग और अनुमत अग्रेषण चाहिए, हर उस परिवार के लिए जिसे आप सक्षम करते हैं।

यहीं निजी IPv6 योजना पर्याप्त होना बंद कर देती है। अद्वितीय-स्थानीय एड्रेसिंग निजी पहुँच खरीदती है और सार्वजनिक IPv6 इग्रेस नहीं बनाती, इसलिए जो डिज़ाइन मानता है कि बिना-संख्या वाला परिवार सिर्फ़ IPv4 मास्करेडिंग नियमों का पालन करेगा, वह अपने उपयोगकर्ताओं को निराश करेगा। यदि सार्वजनिक IPv6 पहुँच आवश्यकता का हिस्सा है, तो उसे रूटेड योजना और सहमत अपस्ट्रीम चाहिए। अन्यथा स्पष्ट कहें कि IPv6 पक्ष केवल निजी है, जो छिपाने योग्य सीमा नहीं बल्कि ईमानदार सीमा है।

DNS और वापसी मार्गों को जानबूझकर बनाएँ

नाम विभेदन परिवहन का अनुसरण नहीं करता। रिज़ॉल्वर केवल IPv4 टनल से A और AAAA रिकॉर्ड लौटा सकता है, और तब क्लाइंट ऐसा परिवार आज़माएगा जिसकी आपने कभी योजना नहीं बनाई। तय करें कि किन सेवा नामों में उपयोगी डुअल-स्टैक उत्तर होने चाहिए और उन दोनों मार्गों को जानबूझकर बनाएँ। जो नाम बिना कार्यशील मार्ग वाले परिवार में विभेदित होता है, वह स्वच्छ त्रुटि के बजाय ठहराव पैदा करता है, और ठहराव का निदान करना कहीं अधिक कठिन है।

बाहरी एंडपॉइंट की पहुँच अलग से दस्तावेज़ करें, जिसमें यह भी शामिल है कि कोई NAT ट्रैवर्सल शामिल है या नहीं और वह कौन-सा परिवार उपयोग करता है।

फिर योजना छह पंक्तियों में लिखें: बाहरी एंडपॉइंट, IPv4 पूल, IPv6 पूल, IPv4 सेवा प्रीफ़िक्स, IPv6 सेवा प्रीफ़िक्स, और वह राउटर जिसके पास हर एक के उत्तर हैं। इस आकार की योजना उन प्रश्नों का उत्तर देती है जो ऑपरेटर रात तीन बजे वास्तव में पूछता है। इससे छोटा कुछ भी डुअल स्टैक को केवल IPv4 नीति पर लगे दूसरे पते के रूप में छोड़ देता है, और आमतौर पर यही आधा-अधूरा काम करता रह जाता है।