strongSwan으로 이중 스택 IKEv2 프라이빗 액세스 계획하기

이중 스택 터널은 하나의 결정이 아니라 셋이며, 각각 다르게 답할 수 있습니다. 외부 터널이 어느 패밀리 위로 흐르는지, 클라이언트가 내부에서 어느 패밀리를 받는지, 보호된 서비스가 실제로 어느 패밀리에서 응답하는지입니다. 이들을 하나의 선택으로 취급하는 설계는 한 번도 필요하지 않았던 IPv6를 나르거나, 아무것도 되돌릴 수 없는 주소를 나눠 줍니다. 셋을 분리하면 나머지 구성은 거의 기계적이 됩니다.

세 가지 주소 유형, 별도로 결정

외부 주소는 두 게이트웨이가 서로 도달하는 방식이며, 내부 트래픽이 두 패밀리를 모두 나르더라도 IPv4일 수 있습니다. 내부 가상 주소는 터널 안에서 클라이언트의 정체성이며, 각 패밀리에는 고유한 풀이 필요합니다. 보호된 접두사는 클라이언트가 도달할 수 있는 범위이며, 터널이 아니라 서비스에 속합니다. 둘 다 프라이빗 범위처럼 보이기 때문에 세 번째를 두 번째와 혼동하면 대부분의 계획 오류가 발생합니다.

IPv4만 사용하는 외부 전송과 이중 스택 내부 트래픽은 정상적이고 잘 지원되는 구성입니다.

각각을 명시적으로 결정하고 결정을 기록하십시오. 외부 경로가 IPv4만이라면 그렇게 말하고 IPv6 엔드포인트 도달성에 대한 걱정을 멈추십시오. 패밀리를 내부에 할당했는데 아무것도 응답하지 않는다면 계획에서 제거하거나 그 서비스를 정말로 이중 스택으로 만드십시오.

각 패밀리에서 가상 주소를 할당하십시오

swanctl 구성에서 클라이언트는 가상 주소를 요청하고, 각 패밀리의 와일드카드는 응답자에게 각각 하나씩 할당하도록 요청합니다. 응답자는 이를 풀에서 가져오며, 풀은 게이트웨이 뒤 네트워크와 별개의 객체입니다. 풀이 서비스 접두사와 겹치면 트래픽이 의도하지 않은 곳에 도착하는 순간까지 올바르게 보이는 라우팅이 생기므로 계획에서도 별도로 유지하십시오.

사용하지 않는 주소는 이득 없는 정책 표면이므로 둘 다 필요할 때는 두 패밀리를 요청하고, 필요 없을 때는 하나를 요청하십시오. 구체적인 요청은 예약이 아니라 요청이며, 응답자는 자체 정책에 따라 다른 값을 반환할 수 있습니다. 이 세부 사항은 주소가 방화벽 규칙이나 모니터링 검사에 하드코딩된 모든 곳에서 중요합니다. 연결에서 풀을 이름으로 참조하고 서비스 네트워크는 풀 밖에 두십시오.

vips = 0.0.0.0, ::

짧은 예시 값을 채택하는 대신 IPv6 풀에 자체 고유 로컬 접두사를 생성하십시오. 예시는 설정의 형태를 보여 줄 뿐 상속할 기본값이 아닙니다.

대상을 풀과 별도로 설명하십시오

트래픽 선택자는 각 측이 교환하기를 기대하는 것을 설명하므로, 게이트웨이의 로컬 선택자는 클라이언트 풀이 아니라 보호된 서비스 접두사를 지명해야 합니다. 클라이언트의 원격 선택자는 그 의도를 반영합니다. 두 목록이 서로 다른 객체를 설명하면 터널은 올라올 수 있지만 유용한 것을 아무것도 나르지 않습니다.

같은 접두사에는 게이트웨이 네트워크 내부의 반환 경로와 허용된 전달이 필요하며, 활성화하는 각 패밀리마다 그렇습니다.

여기서 프라이빗 IPv6 계획은 충분하지 않게 됩니다. 고유 로컬 주소 지정은 프라이빗 도달성을 사지만 공인 IPv6 이그레스를 만들지 않으므로, 번호가 없는 패밀리가 단순히 IPv4 마스커레이드 규칙을 따를 것이라고 가정하는 설계는 사용자를 실망시킵니다. 공인 IPv6 액세스가 요구 사항의 일부라면 라우팅된 계획과 그것에 동의하는 상위 업스트림이 필요합니다. 그렇지 않다면 IPv6 쪽은 프라이빗 전용이라고, 숨길 제한이 아니라 정직한 경계로서 분명히 밝히십시오.

DNS와 반환 경로를 의도적으로 만드십시오

이름 확인은 전송을 따르지 않습니다. 리졸버는 IPv4 전용 터널을 통해 A 및 AAAA 레코드를 반환할 수 있고, 클라이언트는 계획한 적 없는 패밀리를 시도합니다. 어떤 서비스 이름이 사용 가능한 이중 스택 응답을 가져야 하는지 결정하고 두 경로를 모두 의도적으로 만드십시오. 작동하는 경로가 없는 패밀리로 확인되는 이름은 깨끗한 오류가 아니라 정지를 만들며, 정지는 진단하기 훨씬 어렵습니다.

외부 엔드포인트 도달성을 별도로 문서화하고, NAT 통과가 관련되는지와 어느 패밀리를 사용하는지도 포함하십시오.

그다음 외부 엔드포인트, IPv4 풀, IPv6 풀, IPv4 서비스 접두사, IPv6 서비스 접두사, 그리고 각각의 응답을 소유한 라우터라는 여섯 줄로 계획을 쓰십시오. 그 형태의 계획은 운영자가 실제로 새벽 세 시에 던지는 질문에 답합니다. 그보다 짧으면 이중 스택은 IPv4 전용 정책에 볼트로 고정된 두 번째 주소로 남고, 보통 그렇게 절반만 작동하게 됩니다.