Կրկնակի կույտով IKEv2 մասնավոր հասանելիության պլանավորում strongSwan-ով

Կրկնակի կույտով թունելը ոչ թե մեկ որոշում է, այլ երեք, և դրանց կարելի է տարբեր կերպ պատասխանել։ Արտաքին թունելն անցնում է ընտանիքներից մեկի վրայով, հաճախորդը ներսում ստանում է որոշ ընտանիքներ, և պաշտպանված ծառայությունները իրականում պատասխանում են որոշ ընտանիքներում։ Դիզայնը, որը դրանք համարում է մեկ ընտրություն, կամ կրում է IPv6, որ երբեք պետք չէր, կամ տրամադրում է հասցեներ, որոնք ոչինչ չի կարող հետ ուղղորդել։ Առանձնացրեք երեքը, և մնացած կոնֆիգուրացիան դառնում է գրեթե մեխանիկական։

Հասցեի երեք տեսակ՝ առանձին որոշված

Արտաքին հասցեն այն է, թե ինչպես են երկու դարպասները հասնում միմյանց, և այն կարող է լինել IPv4, մինչ ներքին երթևեկությունը կրում է երկու ընտանիքները։ Ներքին վիրտուալ հասցեն հաճախորդի ինքնությունն է թունելի ներսում, և յուրաքանչյուր ընտանիքի պետք է իր լողավազանը։ Պաշտպանված նախածանցներն այն են, ինչին հաճախորդը կարող է հասնել, և դրանք պատկանում են ծառայություններին, ոչ թե թունելին։ Երրորդը երկրորդի հետ շփոթելը պատճառ է դառնում պլանավորման սխալների մեծ մասի, որովհետև երկուսն էլ մասնավոր միջակայքերի տեսք ունեն։

Միայն IPv4 արտաքին տրանսպորտը կրկնակի կույտով ներքին երթևեկությամբ սովորական և լավ աջակցվող կարգավորում է։

Որոշեք յուրաքանչյուրը բացահայտ և գրի առեք որոշումները։ Եթե արտաքին ուղին միայն IPv4 է, ասեք դա և դադարեք անհանգստանալ IPv6 վերջնակետերի հասանելիությամբ։ Եթե ընտանիքը նշանակվում է ներսում, բայց ոչինչ չի պատասխանում դրան, կամ հանեք այն պլանից, կամ այդ ծառայությունները դարձրեք իսկապես կրկնակի կույտով։

Յուրաքանչյուր ընտանիքում հատկացրեք վիրտուալ հասցե

swanctl կոնֆիգուրացիայում հաճախորդը պահանջում է վիրտուալ հասցեներ, և յուրաքանչյուր ընտանիքում ձևանշանը խնդրում է պատասխանողին հատկացնել մեկական։ Պատասխանողը դրանք վերցնում է լողավազաններից, և լողավազանները առանձին օբյեկտներ են դարպասի հետևի ցանցերից։ Պահեք դրանք առանձին նաև պլանում, որովհետև ծառայության նախածանցի հետ համընկնող լողավազանը ստեղծում է երթուղավորում, որը ճիշտ է թվում մինչև այն պահը, երբ երթևեկությունը վայրէջք է կատարում չնախատեսված տեղում։

Պահանջեք երկու ընտանիքները, երբ երկուսն էլ պետք են, և մեկը, երբ պետք չէ, որովհետև չօգտագործված հասցեն առանց օգուտի քաղաքականության մակերես է։ Կոնկրետ հարցումը հարցում է, ոչ ամրագրում, և պատասխանողը կարող է վերադարձնել այլ արժեք իր քաղաքականության համաձայն։ Այդ մանրամասնությունը կարևոր է այնտեղ, որտեղ հասցեն կոշտ կերպով գրված է հրային պատի կանոնում կամ մոնիտորինգի ստուգման մեջ։ Հղում արեք լողավազաններին անունով կապի մեջ և պահեք ծառայությունների ցանցերը դրանցից դուրս։

vips = 0.0.0.0, ::

Ստեղծեք ձեր սեփական եզակի տեղական նախածանցը IPv6 լողավազանի համար՝ կարճ օրինակային արժեք ընդունելու փոխարեն։ Օրինակը ցույց է տալիս կարգավորման ձևը, ոչ թե ժառանգվող լռելյայն արժեք։

Նկարագրեք նպատակակետերը լողավազաններից առանձին

Երթևեկության ընտրիչները նկարագրում են, թե ինչ է սպասում փոխանակել յուրաքանչյուր կողմը, ուստի դարպասի տեղական ընտրիչները պետք է անվանեն պաշտպանված ծառայությունների նախածանցները, ոչ թե հաճախորդների լողավազանները։ Հաճախորդի հեռավոր ընտրիչները արտացոլում են այդ մտադրությունը։ Երբ երկու ցանկերը նկարագրում են տարբեր օբյեկտներ, թունելը կարող է բարձրանալ և այնուամենայնիվ ոչ մի օգտակար բան չկրել։

Այդ նույն նախածանցներին պետք են վերադարձի ուղիներ և թույլատրված փոխանցում դարպասի ցանցի ներսում՝ յուրաքանչյուր ընտանիքի համար, որը միացնում եք։

Այստեղ է, որ մասնավոր IPv6 պլանը դադարում է բավարար լինել։ Եզակի տեղական հասցեավորումը գնում է մասնավոր հասանելիություն և չի ստեղծում հանրային IPv6 ելք, ուստի դիզայնը, որը ենթադրում է, թե առանց համարի ընտանիքը պարզապես կհետևի IPv4 քողարկման կանոններին, կհիասթափեցնի իր օգտատերերին։ Եթե հանրային IPv6 հասանելիությունը պահանջի մաս է, ապա դրան պետք է երթուղավորված պլան և վերին հոսք, որը համաձայն է դրա հետ։ Հակառակ դեպքում պարզ ասեք, որ IPv6 կողմը միայն մասնավոր է, ինչը ազնիվ սահման է, ոչ թե թաքցնելու սահմանափակում։

DNS-ը և վերադարձի ուղիները դարձրեք դիտավորյալ

Անունների լուծումը չի հետևում տրանսպորտին։ Լուծիչը կարող է վերադարձնել A և AAAA գրառումներ միայն IPv4 թունելի միջով, և հաճախորդն այնուհետև կփորձի մի ընտանիք, որը դուք երբեք չեք պլանավորել։ Որոշեք, թե որ ծառայության անունները պետք է կրեն օգտագործելի կրկնակի կույտով պատասխաններ, և երկու ուղիներն էլ դարձրեք դիտավորյալ։ Անունը, որը լուծվում է առանց աշխատող ուղու ընտանիքի, առաջացնում է կանգառ, ոչ թե մաքուր սխալ, և կանգառները շատ ավելի դժվար է ախտորոշել։

Փաստաթղթավորեք արտաքին վերջնակետի հասանելիությունը առանձին, ներառյալ արդյոք NAT անցումը ներգրավված է և որ ընտանիքն է այն օգտագործում։

Այնուհետև գրեք պլանը վեց տողով՝ արտաքին վերջնակետ, IPv4 լողավազան, IPv6 լողավազան, IPv4 ծառայության նախածանց, IPv6 ծառայության նախածանց, և երթուղիչը, որը տիրապետում է յուրաքանչյուրի պատասխաններին։ Այդ ձևի պլանը պատասխանում է այն հարցերին, որ օպերատորն իրականում տալիս է գիշերվա երեքին։ Ավելի կարճ ամեն ինչ թողնում է կրկնակի կույտը որպես երկրորդ հասցե՝ պտուտակված միայն IPv4 քաղաքականությանը, և սովորաբար այդպես էլ ավարտվում է կիսով չափ աշխատելով։