strongSwan көмегімен қос стекті IKEv2 жеке рұқсатын жоспарлау

Қос стекті туннель бір шешім емес, үшеу, және оларға әртүрлі жауап беруге болады. Сыртқы туннель қай отбасының үстінен жүреді, клиент ішінде қай отбасыларды алады және қорғалған қызметтер шын мәнінде қай отбасыларда жауап береді. Оларды бір таңдау ретінде қарастыратын дизайн не ешқашан қажет болмаған IPv6 алып жүреді, не ешнәрсе кері бағыттай алмайтын мекенжайларды таратады. Үшеуін бөліңіз, қалған конфигурация дерлік механикалық болады.

Мекенжайдың үш түрі, бөлек шешілген

Сыртқы мекенжай — екі шлюздің бір-біріне қалай жететіні, және ішкі трафик екі отбасыны да алып жүргенде ол IPv4 болуы мүмкін. Ішкі виртуалды мекенжай — туннель ішіндегі клиенттің бірегейлігі, және әр отбасына өз пулы қажет. Қорғалған префикстер — клиент жете алатын нәрсе, және олар туннельге емес, қызметтерге тиесілі. Үшіншісін екіншісімен шатастыру жоспарлау қателерінің көпшілігін тудырады, өйткені екеуі де жеке ауқымдарға ұқсайды.

Тек IPv4 сыртқы тасымалдау және қос стекті ішкі трафик — қалыпты және жақсы қолдау көрсетілген конфигурация.

Әрқайсысын анық шешіп, шешімдерді жазып алыңыз. Егер сыртқы жол тек IPv4 болса, соны айтыңыз және IPv6 шеткі нүктелерінің қолжетімділігі туралы алаңдауды тоқтатыңыз. Егер отбасы ішінде тағайындалса, бірақ оған ешнәрсе жауап бермесе, оны жоспардан алып тастаңыз немесе бұл қызметтерді шынымен қос стекті етіңіз.

Әр отбасында виртуалды мекенжай бөліңіз

swanctl конфигурациясында клиент виртуалды мекенжайларды сұрайды, және әр отбасындағы әмбебап таңба жауап берушіден әрқайсысынан біреуін бөлуді сұрайды. Жауап беруші оларды пулдардан алады, ал пулдар шлюздің артындағы желілерден бөлек нысандар. Оларды жоспарда да бөлек ұстаңыз, өйткені қызмет префиксімен қабаттасатын пул трафик күтпеген жерге қонғанға дейін дұрыс көрінетін маршруттауды тудырады.

Екеуі де қажет болса, екі отбасын сұраңыз, қажет болмаса біреуін сұраңыз, өйткені пайдаланылмаған мекенжай — пайдасыз саясат беті. Нақты сұраныс — брондау емес, сұраныс, және жауап беруші өз саясатына сай басқа мән қайтара алады. Бұл бөлшек мекенжай өрт қабырғасы ережесіне немесе бақылау тексерісіне қатты жазылған жерлерде маңызды. Қосылымда пулдарға атауымен сілтеме жасаңыз және қызмет желілерін олардан тыс ұстаңыз.

vips = 0.0.0.0, ::

Қысқа мысал мәнін қабылдаудың орнына IPv6 пулы үшін өз бірегей жергілікті префиксіңізді жасаңыз. Мысал параметрдің пішінін көрсетеді, мұрагерлікке алынатын әдепкі мәнді емес.

Межелерді пулдардан бөлек сипаттаңыз

Трафик таңдаушылар әр тараптың нені алмасуды күтетінін сипаттайды, сондықтан шлюздің жергілікті таңдаушылары қорғалған қызмет префикстерін атауы керек, клиент пулдарын емес. Клиенттің қашықтағы таңдаушылары сол ниетті көрсетеді. Екі тізім әртүрлі нысандарды сипаттаса, туннель көтерілуі мүмкін, бірақ пайдалы ештеңе алып жүрмейді.

Сол префикстерге шлюз желісінің ішінде қайтару маршруттары мен рұқсат етілген жіберу қажет, сіз қосатын әр отбасы үшін.

Міне, осында жеке IPv6 жоспары жеткілікті болуды тоқтатады. Бірегей жергілікті адрестеу жеке қолжетімділікті сатып алады және жария IPv6 шығысын жасамайды, сондықтан нөмірсіз отбасы жай ғана IPv4 маскировка ережелерін ұстанады деп болжайтын дизайн өз пайдаланушыларын күтіріп тастайды. Егер жария IPv6 рұқсаты талаптың бөлігі болса, оған маршрутталған жоспар және онымен келісетін жоғары ағын қажет. Әйтпесе, IPv6 жағы тек жеке екенін анық айтыңыз, бұл жасырылатын шектеу емес, адал шекара.

DNS пен қайтару жолдарын әдейі жасаңыз

Атауларды шешу тасымалдауды ұстанбайды. Шешуші A және AAAA жазбаларын тек IPv4 туннелі арқылы қайтара алады, содан кейін клиент сіз ешқашан жоспарламаған отбасын сынап көреді. Қай қызмет атаулары пайдалы қос стекті жауаптарды алып жүруі керектігін шешіңіз және екі жолды да әдейі жасаңыз. Жұмыс істейтін жолы жоқ отбасына шешілетін атау таза қате емес, тоқырау тудырады, ал тоқырауларды диагностикалау әлдеқайда қиын.

Сыртқы шеткі нүктенің қолжетімділігін бөлек құжаттаңыз, оның ішінде NAT өтуі бар-жоғы және ол қай отбасыны пайдаланатыны.

Содан кейін жоспарды алты жолға жазыңыз: сыртқы шеткі нүкте, IPv4 пулы, IPv6 пулы, IPv4 қызмет префиксі, IPv6 қызмет префиксі және әрқайсысының жауаптарын иеленетін маршрутизатор. Осы пішіндегі жоспар оператор түнде үште шынымен қоятын сұрақтарға жауап береді. Кез келген қысқарақ нұсқа қос стексті тек IPv4 саясатына бұрап бекітілген екінші мекенжай ретінде қалдырады, және әдетте ол осылай жартылай жұмыс істейді.