strongSwan vips: virtuális cím kérése az IKEv2-től

A vips belső IKEv2-címet kér; az átjáró dönti el, mit ad. Állítsa be a kérést, töltse be, majd ellenőrizze, mit rendelt hozzá a válaszadó valójában.

Az IKEv2-kliens kérhet egy belső címet az átjárótól, és az átjáró dönti el, mit ad vissza. A strongSwanban ez a kérés a vips beállítás, és kérés marad akkor is, ha konkrét címet ír bele. Az alábbi útmutató beállítja a kérést, betölti, és elolvassa, mi jött vissza, mert ez a három lépés három különböző módon hibázik. Egyik sem rövidül meg attól, ha keményebben gépel.

Mit kér a vips, és mit nem tud megígérni

A vips egy kapcsolatdefiníció belsejébe tartozik, és virtuális címet kér a válaszadótól. A strongSwan virtuális címekről szóló útmutatója egyértelműen kimondja, hogy a válasz lehet másik cím vagy semmi, és pont ezt a mondatot hagyják ki az emberek, amikor értéket írnak be, és azt várják, hogy megjelenjen. A kérés mégis megéri, mert amit ellenőriz, az a válasz. Kezelje a beállítást kérésre vonatkozó utasításként, nem az eredmény konfigurációjaként.

A 0.0.0.0 kérése bármely elérhető virtuális IPv4-címet kér, ami általában helyes, ha a pontos érték nem számít. Egy konkrét cím kérése utalás az átjárónak, nem követelés vele szemben.

A swanctl-töredék és hová tartozik

A beállítás a kapcsolatblokkon belül van, nem saját fájlban és nem operációsrendszer-profilban. Ez az elkülönített töredék mutatja a formát:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Töltse be azzal a fájllal, amelyik a kapcsolatot birtokolja, majd indítsa el a kapcsolatot, és olvassa el az eredményt. A rossz szakaszba illesztett töredék elemzési hibát okoz, vagy ami rosszabb, olyan kapcsolatot, amely a kérés nélkül töltődik be, amelyet gondolt. Futtassa a három parancsot sorrendben, és őrizze meg a kimenetet.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

A local_ts forgalmat választ, nem hoz létre címet

A local_ts a gyermek SA által védett forgalom halmazát nevezi meg; nem tesz címet egy interfészre. Miután a virtuális IP-t megtárgyalták, a strongSwan abbahagyja az alapértelmezett dinamikus választó használatát, és helyette a megadott címet használja. Ha a választót szó szerinti címhez rögzíti, olyasmit állít, amit az átjáró esetleg nem adott meg, és ezért a hiba működő SA-ként jelenik meg, amelynek forgalma sehová sem megy. A választó a forgalmat írja le, míg a hozzárendelés a másik cseréből jön.

A stabil belső cím megszerzésének másik módja, hogy helyben birtokolja. Tegye a címet egy interfészre, mielőtt az alagút feljön, irányítsa a választót arra, ami már létezik, és rendezze el a partnert és az útvonalat körülötte.

Ebben a kialakításban semmit sem tárgyalnak meg, így semmit sem lehet újra hozzárendelni, és ez az üzlet: determinizmus azért, hogy maga végezze a címzést. Ez más mechanizmus, nem a vips változata, ezért a kettőt nem szabad egy kapcsolatban keverni. A megtárgyalt cím mellett rögzített választó olyan kapcsolat, amely addig működik, amíg az átjáró valami mást nem oszt ki.

Ellenőrizze, mit rendelt hozzá a válaszadó valójában

Olvassa el az SA-listát azért a címért, amelyet az átjáró megadott, majd erősítse meg, hogy a cím létezik az interfészen. Ha a kettő nem egyezik, az alagút áll, és a forgalom nem oda megy, ahová gondolja. A megadott cím, amely soha nem ér el az interfészre, a legzavarbaejtőbb hiba ebben a sorrendben, mert mindkét fél önmagában helyesnek látszik.

Tartson négy címet külön a jegyzeteiben: a kért belső címet, a megadottat, a gép LAN-címét és a nyilvános kimenetet, amelyet egy webhely jelent. Különböző rétegekhez tartoznak, és különböző helyeken jelennek meg. Az az útmutató, amely mind a négyet rögzíti, olyan, amelyet más is követhet anélkül, hogy megkérdezné, melyik címre gondolt. Minden újratöltés után olvassa vissza őket, mert a megadott érték az egyetlen, amely az élő alagutat írja le.

Tartsa külön a statikus kialakítást

Ha fix belső címre van szüksége, rendezze el a foglalást az átjárón, és hagyja a kliens kérését kérésnek. A rögzített választó és a megtárgyalt cím keverése olyan kapcsolatot ad, amely addig működik, amíg az átjáró valami mást rendel hozzá. Írja le a foglalási szabályt a kapcsolat mellé, mert ez az a rész, amelyet egy kolléga nem tud kikövetkeztetni a konfigurációs fájlból. Akkor egy új kliens örökli a szabályt, ahelyett hogy újra felfedezné.

A beépített Mac-ügyfélben egyik ilyen beállításnév sem létezik. Használja azt a hozzárendelést vagy foglalást, amelyet az átjáró kínál, és a profilt, amelyet az üzemeltető közzétesz, és a kliensoldali értéket tekintse utalásnak, amíg vissza nem olvasta a hozzárendelést. A visszaállítás a vips sor eltávolítása és újratöltés, ami visszaviszi ahhoz, amit az átjáró alapértelmezés szerint hozzárendel.

Kapcsolódó cikkek