strongSwan менен кош стектүү IKEv2 жеке кирүүнү пландоо

Кош стектүү туннель бир чечим эмес, үч, жана аларга ар башкача жооп берсе болот. Тышкы туннель кайсы үй-бүлөнүн үстү менен жүрөт, кардар ичинде кайсы үй-бүлөлөрдү алат жана корголгон кызматтар чындыгында кайсы үй-бүлөлөрдө жооп берет. Аларды бир тандоо катары караган долбоор же эч качан керек болбогон IPv6 алып жүрөт, же эч нерсе кайтара албай турган даректерди бөлүштүрөт. Үчөөнү бөлүңүз, калган конфигурация дээрлик механикалык болуп калат.

Даректин үч түрү, өзүнчө чечилген

Тышкы дарек — эки шлюз бири-бирине кантип жетет, жана ички трафик эки үй-бүлөнү тең алып жүргөндө ал IPv4 болушу мүмкүн. Ички виртуалдык дарек — туннелдин ичиндеги кардардын инсандыгы, жана ар бир үй-бүлөгө өзүнүн пулу керек. Корголгон префикстер — кардар жете алган нерсе, жана алар туннелге эмес, кызматтарга таандык. Үчүнчүсүн экинчиси менен аралаштыруу пландоо каталарынын көбүн пайда кылат, анткени экөө тең жеке диапазондорго окшош.

IPv4 гана тышкы ташуу жана кош стектүү ички трафик — кадимки жана жакшы колдоого алынган конфигурация.

Ар бирин ачык чечип, чечимдерди жазып алыңыз. Эгер тышкы жол IPv4 гана болсо, аны айтыңыз жана IPv6 четки чекиттеринин жеткиликтүүлүгү тууралуу тынчсызданууну токтотуңуз. Эгер үй-бүлө ичинде дайындалса, бирок ага эч нерсе жооп бербесе, аны пландан алып салыңыз же бул кызматтарды чындыгында кош стектүү кылыңыз.

Ар бир үй-бүлөдө виртуалдык дарек бөлүңүз

swanctl конфигурациясында кардар виртуалдык даректерди сурайт, жана ар бир үй-бүлөдөгү универсал белги жооп берүүчүдөн ар биринен бирден бөлүүнү сурайт. Жооп берүүчү аларды пулдардан алат, ал эми пулдар шлюздин артындагы тармактардан өзүнчө объектилер. Аларды планда да өзүнчө кармаңыз, анткени кызмат префикси менен капталган пул трафик күтүлбөгөн жерге конгонго чейин туура көрүнгөн маршруттоону пайда кылат.

Экөө тең керек болсо, эки үй-бүлөнү сураңыз, керек болбосо бирөөнү сураңыз, анткени колдонулбаган дарек — пайдасыз саясат бети. Так сурамжылоо — брондолуу эмес, сурамжылоо, жана жооп берүүчү өз саясатына ылайык башка маанини кайтара алат. Бул деталь дарек өрт дубалынын эрежесине же көзөмөл текшерүүсүнө катуу жазылган бардык жерде маанилүү. Туташууда пулдарга аты менен шилтеме жасаңыз жана кызмат тармактарын алардан тышкары кармаңыз.

vips = 0.0.0.0, ::

Кыска мисал маанисин кабыл алуунун ордуна IPv6 пулу үчүн өзүңүздүн уникалдуу жергиликтүү префиксиңизди түзүңүз. Мисал параметрдин формасын көрсөтөт, мураска алынуучу демейки маанини эмес.

Барар жерлерди пулдардан өзүнчө сүрөттөңүз

Трафик тандагычтар ар тараптын эмнени алмашууну күткөнүн сүрөттөйт, ошондуктан шлюздин жергиликтүү тандагычтары корголгон кызмат префикстерин аташы керек, кардар пулдарын эмес. Кардардын алыскы тандагычтары ошол ниетти чагылдырат. Эки тизме ар башка объектилерди сүрөттөсө, туннель көтөрүлүшү мүмкүн, бирок пайдалуу эч нерсе алып жүрбөйт.

Ошол эле префикстерге шлюздин тармагынын ичинде кайтаруу маршруттары жана уруксат берилген өткөрүү керек, сиз күйгүзгөн ар бир үй-бүлө үчүн.

Мына ушунда жеке IPv6 планы жетиштүү болууну токтотот. Уникалдуу жергиликтүү даректөө жеке жеткиликтүүлүктү сатып алат жана коомдук IPv6 чыгуусун жаратпайт, ошондуктан номурсуз үй-бүлө жөн гана IPv4 маскировка эрежелерин аткарат деп болжолдогон долбоор өз колдонуучуларын көңүлүн калтырат. Эгер коомдук IPv6 кирүү талаптын бөлүгү болсо, ага маршрутталган план жана ага макул болгон жогорку агым керек. Болбосо, IPv6 тарабы жеке гана экенин ачык айтыңыз, бул жашырылуучу чектөө эмес, чынчыл чек.

DNS жана кайтаруу жолдорун атайын кылыңыз

Аттарды чечүү ташууга ээрчибейт. Чечүүчү A жана AAAA жазууларын IPv4 гана туннелдин аркылуу кайтара алат, анан кардар сиз эч качан пландабаган үй-бүлөнү сынап көрөт. Кайсы кызмат аттары пайдалуу кош стектүү жоопторду алып жүрүшү керектигин чечиңиз жана эки жолду тең атайын кылыңыз. Иштеген жолу жок үй-бүлөгө чечилген ат таза ката эмес, токтоп калууну пайда кылат, ал эми токтоп калууларды диагностикалоо алда канча кыйын.

Тышкы четки чекиттин жеткиликтүүлүгүн өзүнчө документтештириңиз, анын ичинде NAT өтүүсү барбы жана ал кайсы үй-бүлөнү колдонот.

Анан планды алты сапка жазыңыз: тышкы четки чекит, IPv4 пулу, IPv6 пулу, IPv4 кызмат префикси, IPv6 кызмат префикси жана ар биринин жоопторун ээлеген маршрутизатор. Ошол формадагы план оператор түнкү саат үчтө чындыгында берген суроолорго жооп берет. Андан кыскараак нерсе кош стекти IPv4 гана саясатына бурап бекитилген экинчи дарек катары калтырат, жана адатта ал ошентүп жарым-жартылай иштеп бүтөт.