Skipulagning á einkaaðgangi IKEv2 með tvískiptum stafla og strongSwan

Tvískiptur stafli er ekki ein ákvörðun heldur þrjár, og hægt er að svara þeim á mismunandi hátt. Hvaða fjölskyldu ytri göngin fara yfir, hvaða fjölskyldur biðlarinn fær inni, og hvaða fjölskyldur vernduðu þjónusturnar svara í raun á. Hönnun sem meðhöndlar þær sem eitt val ber annaðhvort IPv6 sem aldrei var þörf á eða úthlutar vistföngum sem ekkert getur beint til baka. Aðskildu þrjár og afgangur stillingarinnar verður næstum vélrænn.

Þrjár tegundir vistfanga, ákveðnar hver fyrir sig

Ytra vistfang er hvernig göngin tvö ná hvort til annars, og það getur verið IPv4 á meðan innri umferð ber báðar fjölskyldurnar. Innra sýndarvistfang er sjálfsmynd biðlarans inni í göngunum, og hver fjölskylda þarf sinn eigin pott. Vernduðu forskeytin eru það sem biðlarinn má ná til, og þau tilheyra þjónustunum en ekki göngunum. Að rugla þriðja með öðru veldur flestum skipulagningarvillum, því bæði líta út eins og einkasvið.

Ytri flutningur eingöngu IPv4 með tvískiptri innri umferð er eðlileg og vel studd ráðstöfun.

Ákveddu hverja með skýrum hætti og skrifaðu ákvarðanirnar niður. Ef ytri leiðin er eingöngu IPv4, segðu það og hættu að hafa áhyggjur af aðgengi IPv6 endapunkta. Ef fjölskyldu er úthlutað inni en ekkert svarar á henni, skaltu annaðhvort fjarlægja hana úr áætluninni eða gera þá þjónustu raunverulega tvískipta.

Úthlutaðu sýndarvistfangi í hverri fjölskyldu

Í swanctl-stillingu biður biðlarinn um sýndarvistföng, og algildistákn í hverri fjölskyldu biður svarandann að úthluta einu úr hvorri. Svarandinn sækir þau í potta, og pottar eru aðskildir hlutir frá netunum bak við göngin. Haltu þeim aðskildum í áætluninni líka, því pottur sem skarast við forskeyti þjónustu framleiðir leiðsögn sem virðist rétt allt þar til umferðin lendir einhvers staðar óviljandi.

Biddu um báðar fjölskyldurnar þegar þú þarft báðar, og eina þegar þú þarft ekki, því ónotað vistfang er stefnuyfirborð án ávinnings. Sértæk beiðni er beiðni en ekki bókun, og svarandinn getur skilað öðru gildi samkvæmt eigin stefnu. Það atriði skiptir máli hvar sem vistfang er harðkóðað í eldveggjarreglu eða vöktunareftirlit. Vísaðu í potta með nafni í tengingunni og haltu þjónustunetum utan þeirra.

vips = 0.0.0.0, ::

Búðu til þitt eigið einstakt staðbundið forskeyti fyrir IPv6-pottinn í stað þess að taka stutt dæmisgildi. Dæmið sýnir lögun stillingarinnar, ekki sjálfgefið gildi til að erfa.

Lýstu áfangastöðum aðskildum frá pottum

Umferðarvalar lýsa því sem hvor hlið ætlast til að skiptast á, svo staðbundnir valar gáttarinnar ættu að nefna vernduð þjónustuforskeyti en ekki biðlarapotta. Fjarlægir valar biðlarans endurspegla þá ætlun. Þegar listarnir tveir lýsa mismunandi hlutum geta göngin risið og samt borið ekkert gagnlegt.

Sömu forskeyti þurfa afturleiðir og leyfða framsendingu innan nets gáttarinnar, fyrir hverja fjölskyldu sem þú virkjar.

Hér hættir einkaað áætlun fyrir IPv6 að duga. Einstök staðbundin aðsetning kaupir einkaaðgengi og skapar ekki opinbera IPv6-útleið, svo hönnun sem gerir ráð fyrir að ónúmeraða fjölskyldan fylgi einfaldlega IPv4-maskunarreglum mun valda notendum sínum vonbrigðum. Ef opinbert IPv6-aðgengi er hluti af kröfunni þarf það beitta áætlun og uppstreymisveitu sem samþykkir hana. Annars segðu skýrt að IPv6-hliðin sé aðeins einkaað, sem er heiðarleg mörk en ekki takmörkun til að fela.

Gerðu DNS og afturleiðir viljandi

Nafnupplausn fylgir ekki flutningnum. Upplausnari getur skilað A- og AAAA-færslum gegnum göng eingöngu IPv4, og biðlarinn mun þá prófa fjölskyldu sem þú skipulagðir aldrei. Ákveddu hvaða þjónustunöfn eigi að bera nothæf tvískipt svör og gerðu báðar þessar leiðir viljandi. Nafn sem leysist í fjölskyldu án virkrar leiðar veldur stöðnun en ekki hreinri villu, og stöðnun er miklu erfiðara að greina.

Skráðu aðgengi ytri endapunktsins sérstaklega, þar á meðal hvort NAT-gegnumferð eigi hlut að máli og hvaða fjölskyldu hún notar.

Skrifaðu síðan áætlunina í sex línum: ytri endapunktur, IPv4-pottur, IPv6-pottur, IPv4-þjónustuforskeyti, IPv6-þjónustuforskeyti, og leiðarinn sem á svörin fyrir hvert. Áætlun í þeirri mynd svarar spurningunum sem rekstraraðili spyr í raun klukkan þrjú að nóttu. Allt styttra skilur tvískiptan stafla eftir sem annað vistfang boltað á stefnu eingöngu IPv4, og þannig endar það venjulega að virka hálfa leið.