strongSwan vips: IKEv2ден виртуалдык дарек суроо

vips ички IKEv2 дарегин сурайт; дарбаза эмнени берерин өзү чечет. Сурамжылоону жөндөңүз, аны жүктөңүз, анан жооп берүүчү эмнени дайындаганын текшериңиз.

Сиздин IKEv2 кардарыңыз дарбазадан ички дарек сурай алат, ал эми дарбаза эмнени кайтарарын өзү чечет. strongSwan ичинде бул сурам vips жөндөөсү болуп саналат жана ага так дарек жазсаңыз да, ал сурам бойдон калат. Төмөнкү нускама сурамды жөндөйт, аны жүктөйт жана эмне кайтканын окуйт, анткени бул үч кадам үч түрдүү жол менен ишке ашпайт. Алардын эч бири катуураак терип кыскарбайт.

vips эмнени сурайт жана эмнени убада кыла албайт

vips байланыш аныктамасынын ичинде болот жана жооп берүүчүдөн виртуалдык дарек сурайт. strongSwan'дын виртуалдык даректер боюнча нускамасы жооп башка дарек болушу мүмкүн же такыр болбошу мүмкүн экенин ачык айтат, жана адамдар маани жазып, анын пайда болушун күткөндө дал ушул сүйлөмдү өткөрүп жиберишет. Сурамды баары бир жасоого татыктуу, анткени сиз текшере турган нерсе — жооп. Жөндөөнү суроо үчүн берилген көрсөтмө катары кабыл алыңыз, натыйжанын конфигурациясы катары эмес.

0.0.0.0 суроо жеткиликтүү болгон каалаган IPv4 виртуалдык дарегин суроону билдирет, бул так маани маанилүү болбогондо адатта туура. Так даректи суроо — дарбазага берилген ишарат, ага коюлган талап эмес.

swanctl үзүндүсү жана анын орду

Жөндөө байланыш блогунун ичинде турат, өзүнүн файлында эмес жана операциялык система профилинде да эмес. Бул обочолонгон үзүндү форманы көрсөтөт:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Аны байланышка таандык файл менен жүктөңүз, анан байланышты баштап, натыйжаны окуңуз. Туура эмес бөлүмгө коюлган үзүндү талдоо катасын берет же, андан жаманы, сиз жасадым деп ойлогон сурамсыз жүктөлүүчү байланышты берет. Үч буйрукту ирети менен аткарып, чыгарылышты сактаңыз.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts трафикти тандайт, дарек жаратпайт

local_ts бала SA коргогон трафик жыйындысын атайт; ал интерфейске дарек койбойт. Виртуалдык IP келишилгенден кийин strongSwan демейки динамикалык тандагычын колдонууну токтотуп, анын ордуна берилген даректи колдонот. Эгер тандагычты сөзмө-сөз дарекке бекитсеңиз, дарбаза бербеген болушу мүмкүн болгон нерсени ырастайсыз, ошондуктан бузулуу эч жакка барбаган трафиги бар иштеп жаткан SA катары көрүнөт. Тандагыч трафикти сүрөттөйт, ал эми дайындоо башка алмашуудан келет.

Туруктуу ички дарек алуунун башка жолу — аны жергиликтүү түрдө ээлөө. Туннель көтөрүлөөр алдында даректи интерфейске коюңуз, тандагычты мурунтан бар нерсеге багыттаңыз жана өнөктөш менен маршрутту анын айланасында жайгаштырыңыз.

Бул долбоордо эч нерсе келишилбейт, ошондуктан эч нерсени кайра дайындоого болбойт, жана бул — алмашуу: даректөө ишин өзүңүз аткарганга детерминизм. Бул vips'тин варианты эмес, башка механизм, ошондуктан экөөнү бир байланышта аралаштырбоо керек. Келишилген даректин жанында бекитилген тандагыч — дарбаза башка нерсе бөлүп бергиче иштеген байланыш.

Жооп берүүчү эмнени дайындаганын текшериңиз

Дарбаза берген дарек үчүн SA тизмесин окуңуз, анан даректин интерфейсте бар экенин ырастаңыз. Эгер экөө дал келбесе, туннель көтөрүлгөн, ал эми трафик сиз ойлогон жерге барбайт. Интерфейске эч качан жетпеген берилген дарек — бул ырааттагы эң баш аламан бузулуу, анткени ар бир жарым өзүнчө туура көрүнөт.

Жазууларыңызда төрт даректи өзүнчө кармаңыз: суралган ички дарек, берилген дарек, машинанын LAN дареги жана кандайдыр бир сайт билдирген коомдук чыгуу. Алар ар кандай катмарларга таандык жана ар кандай жерлерде көрүнөт. Төртөөнү тең жазуучу нускама — башка адам сиз кайсы даректи айткыңыз келгенин сурабастан ээрчий алган нускама. Ар бир кайра жүктөөдөн кийин аларды кайра окуңуз, анткени берилген маани тирүү туннелди сүрөттөгөн жалгыз маани.

Статикалык долбоорду өзүнчө кармаңыз

Эгер сизге туруктуу ички дарек керек болсо, дарбазада резервдөөнү уюштуруп, кардардын сурамын сурам бойдон калтырыңыз. Бекитилген тандагычты келишилген дарек менен аралаштыруу дарбаза башка нерсе дайындаганга чейин иштеген байланыш берет. Резервдөө эрежесин байланыштын жанына жазыңыз, анткени бул — кесиптешиңиз конфигурация файлынан чыгара албаган бөлүк. Анда жаңы кардар эрежени кайра ачкандын ордуна мураска алат.

Курулган Mac кардарында бул параметр аттарынын эч бири жок. Дарбаза сунуш кылган каалаган дайындоону же резервдөөнү жана оператор жарыялаган профилди колдонуңуз, ал эми кардар тараптагы каалаган маанини дайындоону кайра окуганга чейин ишарат катары кабыл алыңыз. Кайтаруу — vips сабын алып салып, кайра жүктөө, бул сизди дарбаза демейки боюнча дайындаган абалга кайтарат.

Тектеш макалалар