strongSwan vips: IKEv2-ден виртуалды мекенжай сұрау

vips ішкі IKEv2 мекенжайын сұрайды; қақпа нені беретінін өзі шешеді. Сұранысты баптап, оны жүктеп, содан кейін жауап берушінің нақты нені тағайындағанын тексеріңіз.

Сіздің IKEv2 клиентіңіз қақпадан ішкі мекенжай сұрай алады, ал қақпа нені қайтаратынын өзі шешеді. strongSwan-да бұл сұраныс — vips параметрі, және оған нақты мекенжай жазсаңыз да, ол сұраныс болып қалады. Төмендегі нұсқаулық сұранысты баптайды, оны жүктейді және не қайтқанын оқиды, өйткені бұл үш қадам үш түрлі жолмен сәтсіз аяқталады. Олардың ешбірі қаттырақ теруден қысқармайды.

vips нені сұрайды және нені уәде ете алмайды

vips қосылым анықтамасының ішінде болады және жауап берушіден виртуалды мекенжай сұрайды. strongSwan-ның виртуалды мекенжайлар жөніндегі нұсқаулығы жауап басқа мекенжай болуы мүмкін немесе мүлде болмауы мүмкін екенін анық айтады, және адамдар мән жазып, оның пайда болуын күткенде дәл осы сөйлемді өткізіп жібереді. Сұранысты бәрібір жасаған жөн, өйткені сіз тексеретін нәрсе — жауап. Параметрді сұрауға арналған нұсқау ретінде қарастырыңыз, нәтиженің конфигурациясы ретінде емес.

0.0.0.0 сұрау кез келген қолжетімді IPv4 виртуалды мекенжайын сұрауды білдіреді, бұл нақты мән маңызды болмағанда әдетте дұрыс. Нақты мекенжайды сұрау — қақпаға берілген ишара, оған қойылатын талап емес.

swanctl үзіндісі және оның орны

Параметр қосылым блогының ішінде тұрады, өз файлында емес және операциялық жүйе профилінде де емес. Бұл оқшауланған үзінді пішінді көрсетеді:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Оны қосылымға тиесілі файлмен жүктеңіз, содан кейін қосылымды бастап, нәтижені оқыңыз. Дұрыс емес бөлімге қойылған үзінді талдау қатесін береді немесе, одан да жаман, сіз жасадым деп ойлаған сұраныссыз жүктелетін қосылымды береді. Үш команданы ретімен орындап, шығысты сақтаңыз.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts трафикті таңдайды, мекенжай жасамайды

local_ts бала SA қорғайтын трафик жиынтығын атайды; ол интерфейске мекенжай қоймайды. Виртуалды IP келісілгеннен кейін strongSwan әдепкі динамикалық таңдауышын қолдануды тоқтатып, оның орнына берілген мекенжайды пайдаланады. Егер таңдауышты тура мекенжайға бекітсеңіз, қақпа бермеген болуы мүмкін нәрсені растайсыз, сондықтан ақау ешқайда бармайтын трафигі бар жұмыс істеп тұрған SA ретінде көрінеді. Таңдауыш трафикті сипаттайды, ал тағайындау басқа алмасудан келеді.

Тұрақты ішкі мекенжай алудың басқа жолы — оны жергілікті түрде ұстау. Туннель көтерілмес бұрын мекенжайды интерфейске қойыңыз, таңдауышты бұрыннан бар нәрсеге бағыттаңыз және серіктес пен маршрутты соның айналасында реттеңіз.

Бұл дизайнда ештеңе келісілмейді, сондықтан ештеңені қайта тағайындауға болмайды, және бұл — мәміле: мекенжайлау жұмысын өзіңіз жасауға айырбастаған детерминизм. Бұл vips-тің түрі емес, басқа механизм, сондықтан екеуін бір қосылымда араластырмау керек. Келісілген мекенжайдың қасында бекітілген таңдауыш — қақпа басқа нәрсе бөлгенше жұмыс істейтін қосылым.

Жауап берушінің нақты нені тағайындағанын тексеріңіз

Қақпа берген мекенжай үшін SA тізімін оқыңыз, содан кейін мекенжайдың интерфейсте бар екенін растаңыз. Егер екеуі сәйкес келмесе, туннель көтерілген, ал трафик сіз ойлаған жерге бармайды. Интерфейске ешқашан жетпейтін берілген мекенжай — бұл тізбектегі ең шатастыратын ақау, өйткені әр жарты өздігінен дұрыс көрінеді.

Жазбаларыңызда төрт мекенжайды бөлек ұстаңыз: сұралған ішкі мекенжай, берілген мекенжай, машинаның LAN мекенжайы және қандай да бір сайт хабарлайтын жария шығыс. Олар әртүрлі қабаттарға жатады және әртүрлі жерлерде көрінеді. Төртеуін де жазатын нұсқаулық — басқа адам сіз қай мекенжайды меңзегеніңізді сұрамай-ақ ұстануға болатын нұсқаулық. Әр қайта жүктеуден кейін оларды қайта оқыңыз, өйткені берілген мән тірі туннельді сипаттайтын жалғыз мән.

Статикалық дизайнды бөлек ұстаңыз

Егер сізге тұрақты ішкі мекенжай қажет болса, қақпада резервтеуді ұйымдастырыңыз және клиент сұранысын сұраныс күйінде қалдырыңыз. Бекітілген таңдауышты келісілген мекенжаймен араластыру қақпа басқа нәрсе тағайындағанша жұмыс істейтін қосылым береді. Резервтеу ережесін қосылымның қасына жазыңыз, өйткені бұл — әріптесіңіз конфигурация файлынан шығара алмайтын бөлік. Сонда жаңа клиент ережені қайта ашудың орнына мұраға алады.

Кірістірілген Mac клиентінде бұл параметр атауларының ешбірі жоқ. Қақпа ұсынатын кез келген тағайындауды немесе резервтеуді және оператор жариялайтын профильді пайдаланыңыз, ал клиент жағындағы кез келген мәнді тағайындауды қайта оқығанша ишара деп қарастырыңыз. Қайтару — vips жолын алып тастап, қайта жүктеу, бұл сізді қақпа әдепкі бойынша тағайындайтын күйге қайтарады.

Қатысты мақалалар