strongSwan vips: meminta alamat virtual dari IKEv2

Klien IKEv2 Anda dapat meminta alamat internal kepada gateway, dan gateway menentukan apa yang akan dikembalikan. Di strongSwan, permintaan itu adalah pengaturan vips, dan tetap merupakan permintaan bahkan saat Anda menuliskan alamat tertentu ke dalamnya. Panduan di bawah ini mengonfigurasi permintaan, memuatnya, dan membaca apa yang kembali, karena ketiga langkah itu gagal dengan tiga cara berbeda. Tidak satu pun menjadi lebih pendek dengan mengetik lebih keras.

Apa yang diminta vips, dan apa yang tidak bisa dijanjikannya

vips berada di dalam definisi koneksi dan meminta alamat virtual kepada penjawab. Panduan alamat virtual strongSwan menyatakan dengan jelas bahwa balasannya bisa berupa alamat lain, atau tidak sama sekali, dan itulah kalimat yang dilewati orang saat menuliskan nilai dan mengharapkannya muncul. Permintaan itu tetap layak dilakukan, karena yang Anda verifikasi adalah balasannya. Perlakukan pengaturan itu sebagai instruksi untuk bertanya, bukan sebagai konfigurasi hasil.

Meminta 0.0.0.0 berarti meminta alamat virtual IPv4 apa pun yang tersedia, yang biasanya tepat ketika nilai persisnya tidak penting. Meminta alamat tertentu adalah petunjuk bagi gateway, bukan tuntutan kepadanya.

Fragmen swanctl dan tempatnya

Pengaturan itu berada di dalam blok koneksi, bukan di berkasnya sendiri dan bukan di profil sistem operasi. Fragmen terpisah ini menunjukkan bentuknya:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Muat dengan berkas yang memiliki koneksi itu, lalu mulai koneksinya dan baca hasilnya. Fragmen yang ditempel ke bagian yang salah menghasilkan galat penguraian atau, lebih buruk, koneksi yang dimuat tanpa permintaan yang Anda kira telah dibuat. Jalankan ketiga perintah secara berurutan dan simpan keluarannya.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts memilih lalu lintas, bukan membuat alamat

local_ts menamai kumpulan lalu lintas yang dilindungi SA anak; ia tidak menaruh alamat pada antarmuka. Setelah IP virtual dinegosiasikan, strongSwan berhenti memakai pemilih dinamis bawaannya dan memakai alamat yang diberikan. Jika Anda memakukan pemilih ke alamat harfiah, Anda mengklaim sesuatu yang mungkin tidak diberikan gateway, dan itulah sebabnya kegagalan muncul sebagai SA yang berfungsi dengan lalu lintas yang tidak pergi ke mana pun. Pemilih menjelaskan lalu lintas, sedangkan penetapan datang dari pertukaran lainnya.

Cara lain untuk mendapatkan alamat internal yang stabil adalah memilikinya secara lokal. Taruh alamat itu pada antarmuka sebelum terowongan naik, arahkan pemilih ke apa yang sudah ada, dan atur rekan serta rute di sekitarnya.

Tidak ada yang dinegosiasikan dalam rancangan itu, jadi tidak ada yang bisa ditetapkan ulang, dan itulah tukarnya: determinisme sebagai ganti mengerjakan pengalamatan sendiri. Ini mekanisme yang berbeda, bukan varian vips, sehingga keduanya tidak boleh dicampur dalam satu koneksi. Pemilih yang dipakukan di samping alamat yang dinegosiasikan adalah koneksi yang berfungsi sampai gateway membagikan sesuatu yang lain.

Verifikasi apa yang sebenarnya ditetapkan penjawab

Baca daftar SA untuk alamat yang diberikan gateway, lalu pastikan alamat itu ada pada antarmuka. Jika keduanya tidak cocok, terowongan menyala dan lalu lintas tidak pergi ke tempat yang Anda pikirkan. Alamat yang diberikan tetapi tidak pernah sampai ke antarmuka adalah kegagalan paling membingungkan dalam urutan ini, karena setiap separuhnya tampak benar sendiri.

Pisahkan empat alamat dalam catatan Anda: alamat internal yang diminta, yang diberikan, alamat LAN mesin, dan jalan keluar publik yang dilaporkan sebuah situs web. Keempatnya termasuk lapisan berbeda dan muncul di tempat berbeda. Panduan yang mencatat keempatnya adalah panduan yang bisa diikuti orang lain tanpa bertanya alamat mana yang Anda maksud. Baca ulang setelah setiap pemuatan ulang, karena nilai yang diberikan hanyalah satu-satunya yang menggambarkan terowongan yang hidup.

Pisahkan rancangan statis

Jika Anda memerlukan alamat internal tetap, aturlah reservasi di gateway dan biarkan permintaan klien tetap sebagai permintaan. Mencampur pemilih yang dipakukan dengan alamat yang dinegosiasikan menghasilkan koneksi yang berfungsi sampai gateway menetapkan sesuatu yang lain. Tuliskan aturan reservasi di samping koneksi, karena itulah bagian yang tidak dapat disimpulkan rekan kerja dari berkas konfigurasi. Dengan begitu klien baru mewarisi aturan itu alih-alih menemukannya lagi.

Pada klien Mac bawaan, tidak satu pun nama opsi ini ada. Gunakan penetapan atau reservasi apa pun yang ditawarkan gateway dan profil yang diterbitkan operator, dan perlakukan nilai apa pun di sisi klien sebagai petunjuk sampai Anda membaca ulang penetapannya. Mengembalikan berarti menghapus baris vips dan memuat ulang, yang mengembalikan Anda ke apa yang ditetapkan gateway secara bawaan.