ორმაგი დასტის IKEv2 კერძო წვდომის დაგეგმვა strongSwan-ით

ორმაგი დასტის გვირაბი ერთი გადაწყვეტილება არ არის, არამედ სამი, და მათ სხვადასხვანაირად შეიძლება უპასუხო. რომელი ოჯახის გავლით მუშაობს გარე გვირაბი, რომელ ოჯახებს იღებს კლიენტი შიგნით და რომელ ოჯახებზე პასუხობენ სინამდვილეში დაცული სერვისები. დიზაინი, რომელიც მათ ერთ არჩევანად განიხილავს, ან ატარებს IPv6-ს, რომელიც არასდროს დასჭირდა, ან გასცემს მისამართებს, რომლებსაც ვერაფერი ვერ დააბრუნებს. გამოყავით სამივე და დანარჩენი კონფიგურაცია თითქმის მექანიკური გახდება.

სამი სახის მისამართი, ცალ-ცალკე გადაწყვეტილი

გარე მისამართი არის ის, როგორ აღწევენ ორი კარიბჭე ერთმანეთს, და ის შეიძლება იყოს IPv4, მაშინ როცა შიდა ტრაფიკი ორივე ოჯახს ატარებს. შიდა ვირტუალური მისამართი კლიენტის იდენტობაა გვირაბის შიგნით, და თითოეულ ოჯახს საკუთარი აუზი სჭირდება. დაცული პრეფიქსები არის ის, რისთვისაც კლიენტს წვდომა შეუძლია, და ისინი სერვისებს ეკუთვნის და არა გვირაბს. მესამის მეორესთან არევა იწვევს დაგეგმვის შეცდომების უმეტესობას, რადგან ორივე კერძო დიაპაზონს ჰგავს.

მხოლოდ IPv4 გარე ტრანსპორტი ორმაგი დასტის შიდა ტრაფიკთან ერთად ნორმალური და კარგად მხარდაჭერილი კონფიგურაციაა.

გადაწყვიტეთ თითოეული ცხადად და ჩაწერეთ გადაწყვეტილებები. თუ გარე გზა მხოლოდ IPv4-ია, თქვით ეს და შეწყვიტეთ IPv6 ბოლო წერტილების ხელმისაწვდომობაზე ფიქრი. თუ ოჯახი შიგნით გამოიყოფა, მაგრამ ვერაფერი პასუხობს მასზე, ან ამოიღეთ ის გეგმიდან, ან გახადეთ ეს სერვისები ნამდვილად ორმაგი დასტის.

გამოყავით ვირტუალური მისამართი თითოეულ ოჯახში

swanctl კონფიგურაციაში კლიენტი ითხოვს ვირტუალურ მისამართებს, და ყოველ ოჯახში ბუნების ნიშანი სთხოვს პასუხისმგებელს თითოეულიდან ერთის გამოყოფას. პასუხისმგებელი მათ აუზებიდან იღებს, და აუზები ცალკე ობიექტებია კარიბჭის უკან არსებული ქსელებისგან. ცალკე შეინახეთ ისინი გეგმაშიც, რადგან სერვისის პრეფიქსს გადამკვეთი აუზი ქმნის მარშრუტიზაციას, რომელიც სწორად გამოიყურება იმ მომენტამდე, სანამ ტრაფიკი არასასურველ ადგილას დაეშვება.

ითხოვეთ ორივე ოჯახი, როცა ორივე გჭირდებათ, და ერთი, როცა არ გჭირდებათ, რადგან გამოუყენებელი მისამართი სარგებლის გარეშე პოლიტიკის ზედაპირია. კონკრეტული მოთხოვნა მოთხოვნაა და არა დაჯავშნა, და პასუხისმგებელს შეუძლია დააბრუნოს სხვა მნიშვნელობა საკუთარი პოლიტიკის მიხედვით. ეს დეტალი მნიშვნელოვანია ყველგან, სადაც მისამართი მკაცრად ჩაწერილია ფაირვოლის წესში ან მონიტორინგის შემოწმებაში. მიმართეთ აუზებს სახელით კავშირში და შეინახეთ სერვისების ქსელები მათ გარეთ.

vips = 0.0.0.0, ::

შექმენით საკუთარი უნიკალური ლოკალური პრეფიქსი IPv6 აუზისთვის მოკლე მაგალითური მნიშვნელობის მიღების ნაცვლად. მაგალითი აჩვენებს პარამეტრის ფორმას და არა მემკვიდრეობით გადასაცემ ნაგულისხმევ მნიშვნელობას.

აღწერეთ დანიშნულებები აუზებისგან ცალკე

ტრაფიკის ამრჩევები აღწერენ, რისი გაცვლას ელოდება თითოეული მხარე, ამიტომ კარიბჭის ლოკალური ამრჩევები უნდა ასახელებდნენ დაცული სერვისების პრეფიქსებს და არა კლიენტის აუზებს. კლიენტის დისტანციური ამრჩევები ამ განზრახვას ასახავენ. როცა ორი სია სხვადასხვა ობიექტს აღწერს, გვირაბი შეიძლება ამოვიდეს და მაინც ვერაფერი სასარგებლო ატაროს.

იმავე პრეფიქსებს სჭირდებათ დაბრუნების მარშრუტები და დაშვებული გადაგზავნა კარიბჭის ქსელში, თითოეული ოჯახისთვის, რომელსაც ჩართავთ.

აქ წყვეტს კერძო IPv6 გეგმა საკმარისი ყოფნას. უნიკალური ლოკალური მისამართება ყიდულობს კერძო ხელმისაწვდომობას და არ ქმნის საჯარო IPv6 გამოსავალს, ამიტომ დიზაინი, რომელიც ვარაუდობს, რომ უნომრო ოჯახი უბრალოდ მიჰყვება IPv4 ნიღბის წესებს, იმედგაცრუებას მოუტანს თავის მომხმარებლებს. თუ საჯარო IPv6 წვდომა მოთხოვნის ნაწილია, მას სჭირდება მარშრუტიზებული გეგმა და ზემო დინება, რომელიც თანხმდება ამაზე. წინააღმდეგ შემთხვევაში ცხადად თქვით, რომ IPv6 მხარე მხოლოდ კერძოა, რაც პატიოსანი საზღვარია და არა დასამალი შეზღუდვა.

გახადეთ DNS და დაბრუნების გზები განზრახ

სახელების გარჩევა ტრანსპორტს არ მიჰყვება. გამხსნელს შეუძლია დააბრუნოს A და AAAA ჩანაწერები მხოლოდ IPv4 გვირაბის გავლით, და კლიენტი შემდეგ სცდის ოჯახს, რომელიც არასდროს დაგეგმეთ. გადაწყვიტეთ, რომელი სერვისის სახელები უნდა ატარებდეს გამოსადეგ ორმაგი დასტის პასუხებს, და ორივე ეს გზა გახადეთ განზრახ. სახელი, რომელიც იხსნება სამუშაო გზის გარეშე ოჯახში, იწვევს გაჩერებას და არა სუფთა შეცდომას, და გაჩერებების დიაგნოსტიკა გაცილებით რთულია.

დააფიქსირეთ გარე ბოლო წერტილის ხელმისაწვდომობა ცალკე, მათ შორის არის თუ არა NAT გადასვლა თამაშში და რომელ ოჯახს იყენებს ის.

შემდეგ დაწერეთ გეგმა ექვს სტრიქონად: გარე ბოლო წერტილი, IPv4 აუზი, IPv6 აუზი, IPv4 სერვისის პრეფიქსი, IPv6 სერვისის პრეფიქსი, და მარშრუტიზატორი, რომელსაც ეკუთვნის თითოეულის პასუხები. ასეთი ფორმის გეგმა პასუხობს კითხვებს, რომლებსაც ოპერატორი ნამდვილად სვამს ღამის სამ საათზე. უფრო მოკლე ყველაფერი ტოვებს ორმაგ დასტის, როგორც მეორე მისამართს, მიჭიკარტებულს მხოლოდ IPv4 პოლიტიკაზე, და ჩვეულებრივ ასე სრულდება ნახევრად მომუშავედ.