Kettős verem IKEv2 privát hozzáférés tervezése strongSwannal

A kettős vermű alagút nem egy döntés, hanem három, és ezekre különbözőképpen lehet válaszolni. Melyik családon fut a külső alagút, mely családokat kap az ügyfél belül, és mely családokon válaszolnak valójában a védett szolgáltatások. Az a terv, amely egyetlen választásként kezeli őket, vagy olyan IPv6-ot szállít, amelyre soha nem volt szükség, vagy olyan címeket oszt ki, amelyeket semmi nem tud visszairányítani. Válassza szét a hármat, és a konfiguráció többi része szinte mechanikussá válik.

Három címfajta, külön eldöntve

A külső cím az, ahogyan a két átjáró eléri egymást, és lehet IPv4, miközben a belső forgalom mindkét családot szállítja. A belső virtuális cím az ügyfél identitása az alagúton belül, és minden családnak saját készletre van szüksége. A védett előtagok azok, amelyeket az ügyfél elérhet, és a szolgáltatásokhoz tartoznak, nem az alagúthoz. A harmadik összekeverése a másodikkal okozza a legtöbb tervezési hibát, mert mindkettő privát tartománynak látszik.

A csak IPv4-es külső szállítás kettős vermű belső forgalommal normális és jól támogatott elrendezés.

Döntsön mindegyikről kifejezetten, és írja le a döntéseket. Ha a külső útvonal csak IPv4, mondja ki, és hagyja abba az IPv6-végpontok elérhetősége miatti aggódást. Ha egy családot belül osztanak ki, de semmi nem válaszol rajta, vagy távolítsa el a tervből, vagy tegye ezeket a szolgáltatásokat valóban kettős verművé.

Osszon ki virtuális címet minden családban

Egy swanctl-konfigurációban az ügyfél virtuális címeket kér, és minden családban egy helyettesítő karakter kéri a válaszadót, hogy egyet-egyet osszon ki. A válaszadó készletekből veszi őket, és a készletek külön objektumok az átjáró mögötti hálózatoktól. Tartsa őket külön a tervben is, mert egy szolgáltatási előtaggal átfedő készlet olyan útvonalválasztást eredményez, amely helyesnek látszik egészen addig a pillanatig, amikor a forgalom valahol nem szándékolt helyen landol.

Kérje mindkét családot, amikor mindkettőre szüksége van, és egyet, amikor nem, mert a fel nem használt cím haszon nélküli szabályfelület. Egy konkrét kérés kérés, nem foglalás, és a válaszadó saját szabályai szerint más értéket adhat vissza. Ez a részlet mindenhol számít, ahol egy címet mereven beírtak egy tűzfal-szabályba vagy egy megfigyelési ellenőrzésbe. Hivatkozzon a készletekre névvel a kapcsolatban, és tartsa a szolgáltatási hálózatokat azokon kívül.

vips = 0.0.0.0, ::

Hozza létre a saját egyedi helyi előtagját az IPv6-készlethez ahelyett, hogy átvenne egy rövid példaértéket. A példa a beállítás formáját mutatja, nem örökölhető alapértéket.

Írja le a célokat a készletektől elkülönítve

A forgalomválasztók leírják, mit vár mindkét fél cserélni, ezért az átjáró helyi választóinak védett szolgáltatási előtagokat kell megnevezniük, nem ügyfélkészleteket. Az ügyfél távoli választói ezt a szándékot tükrözik. Amikor a két lista különböző objektumokat ír le, az alagút feljöhet, és mégsem szállít semmi hasznosat.

Ugyanezeknek az előtagoknak visszatérési útvonalakra és engedélyezett továbbításra van szükségük az átjáró hálózatán belül, minden engedélyezett családhoz.

Itt szűnik meg elegendő lenni egy privát IPv6-terv. Az egyedi helyi címzés privát elérhetőséget vásárol, és nem hoz létre nyilvános IPv6-egress-t, ezért az a terv, amely feltételezi, hogy a számozatlan család egyszerűen követi az IPv4-maszkolási szabályokat, csalódást okoz a felhasználóinak. Ha a nyilvános IPv6-hozzáférés a követelmény része, irányított tervre és azt elfogadó felsőbb folyamra van szüksége. Ellenkező esetben mondja ki egyértelműen, hogy az IPv6-oldal csak privát, ami őszinte határ, nem pedig elrejtendő korlátozás.

Tegye szándékossá a DNS-t és a visszatérési útvonalakat

A névfeloldás nem követi a szállítást. Egy feloldó A és AAAA rekordokat adhat vissza egy csak IPv4-es alagúton, és az ügyfél ezután olyan családot próbál, amelyre soha nem tervezett. Döntse el, mely szolgáltatásnevek hordozzanak használható kettős vermű válaszokat, és tegye szándékossá mindkét útvonalat. Az a név, amely működő útvonal nélküli családra oldódik fel, akadást okoz tiszta hiba helyett, az akadásokat pedig sokkal nehezebb diagnosztizálni.

Dokumentálja a külső végpont elérhetőségét külön, beleértve azt, hogy van-e NAT-átjárás a játékban, és melyik családot használja.

Ezután írja le a tervet hat sorban: külső végpont, IPv4-készlet, IPv6-készlet, IPv4 szolgáltatási előtag, IPv6 szolgáltatási előtag, és az útválasztó, amely mindegyik válaszait birtokolja. Egy ilyen alakú terv megválaszolja azokat a kérdéseket, amelyeket egy üzemeltető valóban hajnali háromkor feltesz. Bármi rövidebb a kettős vermet második címként hagyja egy csak IPv4-es szabályra csavarozva, és általában így is végzi félig működőként.