strongSwan vips: kako zatražiti virtualnu adresu od IKEv2

Vaš IKEv2 klijent može zatražiti unutarnju adresu od mrežnog prolaza, a prolaz odlučuje što će vratiti. U strongSwanu je taj zahtjev postavka vips i ostaje zahtjev čak i kad u nju upišete konkretnu adresu. Priručnik u nastavku postavlja zahtjev, učitava ga i čita što se vratilo, jer ta tri koraka padaju na tri različita načina. Nijedan od njih ne postaje kraći koliko god jače tipkali.

Što vips traži i što ne može obećati

vips pripada unutar definicije veze i traži virtualnu adresu od odgovarača. strongSwanov vodič za virtualne adrese jasno kaže da odgovor može biti druga adresa ili ništa, a to je rečenica koju ljudi preskoče kad upišu vrijednost i očekuju da se pojavi. Zahtjev se ipak isplati poslati, jer ono što provjeravate jest odgovor. Tretirajte postavku kao uputu da pitate, a ne kao konfiguraciju ishoda.

Zahtjev za 0.0.0.0 traži bilo koju dostupnu IPv4 virtualnu adresu, što je obično ispravno kad točna vrijednost nije važna. Traženje konkretne adrese je nagovještaj prolazu, a ne zahtjev prema njemu.

Fragment swanctl i gdje mu je mjesto

Postavka stoji unutar bloka veze, ne u vlastitoj datoteci i ne u profilu operacijskog sustava. Ovaj izolirani fragment pokazuje oblik:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Učitajte ga datotekom koja posjeduje vezu, zatim pokrenite vezu i pročitajte rezultat. Fragment zalijepljen u pogrešan odjeljak daje pogrešku pri raščlanjivanju ili, još gore, vezu koja se učita bez zahtjeva za koji ste mislili da ste ga poslali. Pokrenite tri naredbe po redu i sačuvajte izlaz.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts bira promet, ne stvara adresu

local_ts imenuje skup prometa koji podređeni SA štiti; on ne stavlja adresu na sučelje. Kad se virtualni IP pregovara, strongSwan prestaje koristiti svoj zadani dinamički selektor i umjesto toga koristi dodijeljenu adresu. Ako selektor prikujete za doslovnu adresu, tvrdite nešto što prolaz možda nije dodijelio, i zato se kvar pojavljuje kao ispravan SA s prometom koji ne ide nikamo. Selektor opisuje promet, dok dodjela dolazi iz druge razmjene.

Drugi način da dobijete stabilnu unutarnju adresu jest da je posjedujete lokalno. Stavite adresu na sučelje prije nego se tunel podigne, usmjerite selektor na ono što već postoji i uredite partnera i rutu oko toga.

U tom se dizajnu ništa ne pregovara, pa se ništa ne može preodrediti, i to je razmjena: determinizam u zamjenu za to da sami obavite adresiranje. To je drugačiji mehanizam, a ne varijanta vipsa, zbog čega ih ne treba miješati u jednoj vezi. Prikucan selektor pokraj pregovorene adrese je veza koja radi dok prolaz ne dodijeli nešto drugo.

Provjerite što je odgovarač zaista dodijelio

Pročitajte popis SA za adresu koju je prolaz dodijelio, pa potvrdite da adresa postoji na sučelju. Ako se njih dvoje ne slažu, tunel je podignut, a promet ne ide tamo gdje mislite. Dodijeljena adresa koja nikada ne stigne do sučelja najzbunjujući je kvar u ovom slijedu, jer svaka polovica naizgled je ispravna sama za sebe.

Držite četiri adrese odvojeno u bilješkama: traženu unutarnju adresu, dodijeljenu, LAN adresu stroja i javni izlaz koji neka web lokacija prijavi. One pripadaju različitim slojevima i pojavljuju se na različitim mjestima. Priručnik koji bilježi sve četiri jest onaj koji netko drugi može slijediti bez pitanja na koju adresu ste mislili. Pročitajte ih ponovno nakon svakog ponovnog učitavanja, jer dodijeljena vrijednost je jedina koja opisuje živu vezu.

Držite statični dizajn odvojeno

Ako vam treba fiksna unutarnja adresa, uredite rezervaciju na prolazu i ostavite zahtjev klijenta kao zahtjev. Miješanje prikucanog selektora s pregovorenom adresom daje vezu koja radi dok prolaz ne dodijeli nešto drugo. Zapišite pravilo rezervacije pokraj veze, jer to je dio koji kolega ne može zaključiti iz konfiguracijske datoteke. Tada novi klijent nasljeđuje pravilo umjesto da ga ponovno otkriva.

Na ugrađenom Mac klijentu nijedno od ovih imena opcija ne postoji. Koristite bilo koju dodjelu ili rezervaciju koju prolaz nudi i profil koji operater objavljuje, a svaku vrijednost na strani klijenta smatrajte nagovještajem dok ne pročitate dodjelu natrag. Vraćanje znači uklanjanje retka vips i ponovno učitavanje, što vas vraća na ono što prolaz dodjeljuje po zadanom.