Merencanakan akses privat IKEv2 tumpukan ganda dengan strongSwan

Tunnel tumpukan ganda bukan satu keputusan melainkan tiga, dan masing-masing dapat dijawab berbeda. Keluarga mana yang dilewati tunnel luar, keluarga mana yang diterima klien di dalam, dan keluarga mana yang benar-benar dijawab layanan terlindungi. Rancangan yang memperlakukannya sebagai satu pilihan entah membawa IPv6 yang tidak pernah dibutuhkan atau membagikan alamat yang tidak dapat dirutekan balik oleh apa pun. Pisahkan ketiganya dan sisa konfigurasi menjadi hampir mekanis.

Tiga jenis alamat, diputuskan terpisah

Alamat luar adalah bagaimana kedua gateway saling menjangkau, dan bisa berupa IPv4 sementara lalu lintas dalam membawa kedua keluarga. Alamat virtual dalam adalah identitas klien di dalam tunnel, dan setiap keluarga memerlukan kumpulannya sendiri. Prefiks terlindungi adalah apa yang boleh dijangkau klien, dan itu milik layanan, bukan tunnel. Mencampur yang ketiga dengan yang kedua menyebabkan sebagian besar kesalahan perencanaan, karena keduanya tampak seperti rentang privat.

Transport luar hanya IPv4 dengan lalu lintas dalam tumpukan ganda adalah pengaturan yang normal dan didukung dengan baik.

Putuskan masing-masing secara eksplisit dan tuliskan keputusannya. Jika jalur luar hanya IPv4, katakan demikian dan berhenti mengkhawatirkan keterjangkauan titik akhir IPv6. Jika suatu keluarga dialokasikan di dalam tetapi tidak ada yang menjawab padanya, entah hapus dari rencana atau buat layanan itu benar-benar tumpukan ganda.

Alokasikan alamat virtual di setiap keluarga

Dalam konfigurasi swanctl klien meminta alamat virtual, dan karakter pengganti di setiap keluarga meminta penjawab mengalokasikan satu dari masing-masing. Penjawab mengambilnya dari kumpulan, dan kumpulan adalah objek terpisah dari jaringan di belakang gateway. Pisahkan juga dalam rencana, karena kumpulan yang tumpang tindih dengan prefiks layanan menghasilkan perutean yang tampak benar sampai saat lalu lintas mendarat di tempat yang tidak dimaksudkan.

Mintalah kedua keluarga saat membutuhkan keduanya, dan satu saat tidak, karena alamat yang tidak terpakai adalah permukaan kebijakan tanpa manfaat. Permintaan spesifik adalah permintaan, bukan reservasi, dan penjawab dapat mengembalikan nilai berbeda menurut kebijakannya sendiri. Detail itu penting di mana pun alamat dikodekan keras dalam aturan firewall atau pemeriksaan pemantauan. Rujuk kumpulan dengan nama dalam koneksi dan jauhkan jaringan layanan darinya.

vips = 0.0.0.0, ::

Buat prefiks lokal unik Anda sendiri untuk kumpulan IPv6 alih-alih mengadopsi nilai contoh yang pendek. Contoh menunjukkan bentuk pengaturan, bukan nilai bawaan untuk diwarisi.

Jelaskan tujuan terpisah dari kumpulan

Pemilih lalu lintas menjelaskan apa yang diharapkan ditukar setiap sisi, jadi pemilih lokal gateway harus menyebut prefiks layanan terlindungi dan bukan kumpulan klien. Pemilih jarak jauh klien mencerminkan maksud itu. Ketika kedua daftar menjelaskan objek berbeda, tunnel dapat menyala dan tetap tidak membawa apa pun yang berguna.

Prefiks yang sama memerlukan rute balik dan penerusan yang diizinkan di dalam jaringan gateway, untuk setiap keluarga yang Anda aktifkan.

Di sinilah rencana IPv6 privat berhenti memadai. Pengalamatan lokal unik membeli keterjangkauan privat dan tidak menciptakan egress IPv6 publik, jadi rancangan yang menganggap keluarga tanpa nomor akan sekadar mengikuti aturan penyamaran IPv4 akan mengecewakan penggunanya. Jika akses IPv6 publik adalah bagian dari persyaratan, itu memerlukan rencana terutekan dan hulu yang menyetujuinya. Jika tidak, nyatakan dengan jelas bahwa sisi IPv6 hanya privat, yang merupakan batas jujur dan bukan batasan yang perlu disembunyikan.

Buat DNS dan jalur balik menjadi disengaja

Resolusi nama tidak mengikuti transport. Resolver dapat mengembalikan catatan A dan AAAA melalui tunnel hanya IPv4, dan klien kemudian akan mencoba keluarga yang tidak pernah Anda rencanakan. Putuskan nama layanan mana yang harus membawa jawaban tumpukan ganda yang dapat digunakan dan buat kedua jalur itu disengaja. Nama yang diselesaikan ke keluarga tanpa jalur yang berfungsi menghasilkan kemacetan alih-alih kesalahan bersih, dan kemacetan jauh lebih sulit didiagnosis.

Dokumentasikan keterjangkauan titik akhir luar secara terpisah, termasuk apakah ada penelusuran NAT yang terlibat dan keluarga mana yang digunakannya.

Lalu tuliskan rencana dalam enam baris: titik akhir luar, kumpulan IPv4, kumpulan IPv6, prefiks layanan IPv4, prefiks layanan IPv6, dan router yang memiliki jawaban untuk masing-masing. Rencana dalam bentuk itu menjawab pertanyaan yang benar-benar diajukan operator pada pukul tiga pagi. Apa pun yang lebih pendek meninggalkan tumpukan ganda sebagai alamat kedua yang dibautkan ke kebijakan hanya IPv4, dan begitulah biasanya berakhir setengah berfungsi.