strongSwan vips: IKEv2-ից վիրտուալ հասցե խնդրելը

Ձեր IKEv2 հաճախորդը կարող է դարպասից ներքին հասցե խնդրել, և դարպասը որոշում է, թե ինչ վերադարձնի։ strongSwan-ում այդ հարցումը vips կարգավորումն է, և այն մնում է հարցում նույնիսկ այն ժամանակ, երբ դրա մեջ կոնկրետ հասցե եք գրում։ Ստորև բերված ուղեցույցը կարգավորում է հարցումը, բեռնում այն և կարդում, թե ինչ վերադարձավ, որովհետև այդ երեք քայլերը ձախողվում են երեք տարբեր ձևերով։ Նրանցից ոչ մեկը չի կարճանում ավելի ուժեղ մուտքագրելուց։

Ինչ է պահանջում vips-ը, և ինչ չի կարող խոստանալ

vips-ը պատկանում է կապի սահմանմանը և պատասխանողից պահանջում է վիրտուալ հասցե։ strongSwan-ի վիրտուալ հասցեների ուղեցույցը բացահայտ ասում է, որ պատասխանը կարող է լինել այլ հասցե, կամ ընդհանրապես ոչինչ, և հենց այդ նախադասությունն են մարդիկ բաց թողնում, երբ արժեք են գրում և սպասում, որ այն կհայտնվի։ Հարցումը դեռ արժե անել, որովհետև հենց պատասխանն եք ստուգում։ Կարգավորումը ընկալեք որպես հարցնելու հրահանգ, ոչ թե արդյունքի կոնֆիգուրացիա։

0.0.0.0-ի հարցումը նշանակում է ցանկացած հասանելի IPv4 վիրտուալ հասցեի հարցում, ինչը սովորաբար ճիշտ է, երբ ճշգրիտ արժեքը նշանակություն չունի։ Կոնկրետ հասցե խնդրելը դարպասին ուղղված ակնարկ է, ոչ թե դրա նկատմամբ պահանջ։

swanctl-ի հատվածը և դրա տեղը

Կարգավորումը գտնվում է կապի բլոկի ներսում, ոչ իր սեփական ֆայլում և ոչ օպերացիոն համակարգի պրոֆիլում։ Այս մեկուսացված հատվածը ցույց է տալիս ձևը:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Բեռնեք այն կապին պատկանող ֆայլով, ապա սկսեք կապը և կարդացեք արդյունքը։ Սխալ բաժնում տեղադրված հատվածը տալիս է վերլուծության սխալ կամ, ավելի վատ, կապ, որը բեռնվում է առանց այն հարցման, որը դուք կարծում էիք, թե արել եք։ Գործարկեք երեք հրամանները հերթականությամբ և պահեք ելքը։

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts-ը ընտրում է երթևեկություն, այն հասցե չի ստեղծում

local_ts-ը անվանում է այն երթևեկության հավաքածուն, որը պաշտպանում է զավակ SA-ն՝ այն հասցե չի դնում ինտերֆեյսի վրա։ Երբ վիրտուալ IP-ն արդեն բանակցված է, strongSwan-ը դադարում է օգտագործել իր լռելյայն դինամիկ ընտրիչը և փոխարենը օգտագործում է տրամադրված հասցեն։ Եթե ընտրիչը ամրացնեք բառացի հասցեին, դուք պնդում եք մի բան, որը դարպասը գուցե չի տրամադրել, և դրա համար էլ ձախողումը երևում է որպես աշխատող SA՝ դեպի ոչ մի տեղ գնացող երթևեկությամբ։ Ընտրիչը նկարագրում է երթևեկությունը, մինչդեռ նշանակումը գալիս է մյուս փոխանակումից։

Կայուն ներքին հասցե ստանալու մյուս ճանապարհը այն տեղում ունենալն է։ Հասցեն դրեք ինտերֆեյսի վրա նախքան թունելի բարձրանալը, ընտրիչն ուղղեք արդեն գոյություն ունեցողին, և գործընկերոջ ու երթուղին դասավորեք դրա շուրջ։

Այդ ձևավորման մեջ ոչինչ չի բանակցվում, ուստի ոչինչ չի կարող վերանշանակվել, և դա է փոխանակումը՝ դետերմինիզմ՝ հասցեավորումը ինքներդ անելու դիմաց։ Դա այլ մեխանիզմ է, ոչ թե vips-ի տարբերակ, և դրա համար էլ երկուսը չպետք է խառնվեն մեկ կապում։ Բանակցված հասցեի կողքին ամրացված ընտրիչը կապ է, որն աշխատում է այնքան ժամանակ, քանի դեռ դարպասը այլ բան չի տրամադրում։

Ստուգեք, թե ինչ է իրականում նշանակել պատասխանողը

Կարդացեք SA-ների ցանկը՝ գտնելու այն հասցեն, որը տրամադրել է դարպասը, ապա հաստատեք, որ հասցեն գոյություն ունի ինտերֆեյսի վրա։ Եթե երկուսը չեն համընկնում, թունելը բարձրացած է, և երթևեկությունը չի գնում այնտեղ, որտեղ դուք կարծում եք։ Տրամադրված հասցեն, որը երբեք չի հասնում ինտերֆեյսին, այս հաջորդականության ամենաշփոթեցնող ձախողումն է, որովհետև յուրաքանչյուր կեսը առանձին ճիշտ է թվում։

Ձեր գրառումներում չորս հասցե առանձին պահեք՝ հարցված ներքին հասցեն, տրամադրվածը, մեքենայի LAN հասցեն և հանրային ելքը, որի մասին հաղորդում է որևէ կայք։ Նրանք պատկանում են տարբեր շերտերի և հայտնվում են տարբեր տեղերում։ Ուղեցույցը, որը գրանցում է բոլոր չորսը, այնպիսին է, որ ուրիշը կարող է հետևել՝ չհարցնելով, թե որ հասցեն նկատի ունեիք։ Նորից կարդացեք դրանք ամեն վերաբեռնումից հետո, որովհետև տրամադրված արժեքն է միակը, որ նկարագրում է կենդանի թունելը։

Ֆիքսված ձևավորումը առանձին պահեք

Եթե ձեզ պետք է ֆիքսված ներքին հասցե, կազմակերպեք ամրագրումը դարպասի վրա և թողեք հաճախորդի հարցումը հարցում մնա։ Ամրացված ընտրիչը բանակցված հասցեի հետ խառնելը տալիս է կապ, որն աշխատում է այնքան ժամանակ, քանի դեռ դարպասը այլ բան չի նշանակում։ Ամրագրման կանոնը գրեք կապի կողքին, որովհետև դա այն մասն է, որը գործընկերը չի կարող եզրակացնել կոնֆիգուրացիայի ֆայլից։ Այնուհետև նոր հաճախորդը ժառանգում է կանոնը՝ փոխարենը նորից բացահայտելու։

Ներկառուցված Mac հաճախորդում այս տարբերակների անուններից ոչ մեկը գոյություն չունի։ Օգտագործեք ցանկացած նշանակում կամ ամրագրում, որ առաջարկում է դարպասը, և այն պրոֆիլը, որը հրապարակում է օպերատորը, և հաճախորդի կողմի ցանկացած արժեք ընկալեք որպես ակնարկ, քանի դեռ նորից չեք կարդացել նշանակումը։ Վերադարձը նշանակում է հեռացնել vips տողը և վերաբեռնել, ինչը ձեզ վերադարձնում է այն վիճակին, որը դարպասը նշանակում է լռելյայն։