Plangen vum private IKEv2-Zougang mat Duebelstack a strongSwan

En Duebelstack-Tunnel ass net eng Entscheedung, mä dräi, a si kënnen ënnerschiddlech beäntwert ginn. Iwwer wéi eng Famill den baussenzegen Tunnel leeft, wéi eng Famillen de Client bannen kritt, a wéi eng Famillen déi geschützt Servicer tatsächlech äntweren. En Design, deen se als eng eenzeg Wiel behandelt, dréit entweder IPv6, dat ni gebraucht gouf, oder deelt Adressen aus, déi näischt zréck route kann. Trennt déi dräi, an de Rescht vun der Konfiguratioun gëtt bal mechanesch.

Dräi Aarte vun Adress, getrennt entscheet

D'baussenzeg Adress ass wéi déi zwou Paarten sech géigesäiteg erreechen, a si kann IPv4 sinn, wärend den bannenzege Traffic déi zwou Famillen dréit. D'bannenzeg virtuell Adress ass d'Identitéit vum Client am Tunnel, a all Famill brauch hire eigenen Pool. Déi geschützt Prefixen sinn dat, wat de Client erreeche kann, a si gehéieren zu de Servicer an net zum Tunnel. D'drëtt mat dem zweete verwiesselen verursaacht déi meescht Plangen-Feeler, well béid wéi privat Beräicher ausgesinn.

Baussenzege Transport nëmmen iwwer IPv4 mat bannenzegem Duebelstack-Traffic ass eng normal a gutt ënnerstëtzt Ariichtung.

Entscheet jidderee explizit a schreift d'Entscheedungen op. Wann de baussenzege Wee nëmmen IPv4 ass, sot et a hält op, dir Suergen iwwer d'Erreechbarkeet vun IPv6-Endpunkte ze maachen. Wann eng Famill bannen zougedeelt gëtt, awer näischt äntwert drop, dann entweder huel se aus dem Plang oder maach déi Servicer wierklech duebelstack.

Deelt eng virtuell Adress an all Famill zou

An enger swanctl-Konfiguratioun freet de Client virtuell Adressen un, an en Platzhalter an all Famill freet de Responder, eng vun all zouzedeelen. De Responder hëlt se aus Pools, a Pools sinn getrennt Objeten vun den Netzwierker hannert der Paart. Halt se och am Plang getrennt, well en Pool, deen e Service-Prefix iwwerlappt, Routing produzéiert, dee korrekt ausgesäit bis zu deem Moment, wou den Traffic op en ongewollte Punkt landt.

Frot béid Famille wann s de béid brauchs, an eng wann s de se net brauchs, well eng onbenotzt Adress ass Uewerfläch vun der Politik ouni Notzen. Eng spezifesch Ufro ass eng Ufro an net eng Reservatioun, an de Responder kann en anere Wäert ënner senger eegener Politik zréckginn. Dee Detail zielt iwwerall wou eng Adress haart an eng Firewall-Regel oder an eng Iwwerwaachungspréifung agebaut ass. Referenzéier Pools mam Numm an der Verbindung a halt Service-Netzwierker ausserhalb vun hinnen.

vips = 0.0.0.0, ::

Generéier däin eegenen eenzegaartege lokale Prefix fir de IPv6-Pool, amplaz en kuerzen Beispillwäert z'iwwerhuelen. D'Beispill weist d'Form vun der Astellung, net en Standardwäert deen ierfbar ass.

Beschreif Destinatiounen getrennt vu Pools

Traffic-Selektoren beschreiwen, wat all Säit erwaart auszetauschen, dofir sollten d'lokal Selektoren vun der Paart geschützt Service-Prefixen nennen an net Client-Pools. Déi distanziert Selektoren vum Client spigelen dës Absicht. Wann déi zwou Lëschten ënnerschiddlech Objeten beschreiwen, kann den Tunnel eropkommen an trotzdem näischt Notzlescht droen.

Déi selwecht Prefixen brauchen Zréckweeër an erlaabte Weiderleedung bannent dem Netzwierk vun der Paart, fir all Famill déi s de aktivéiers.

Hei hält e private IPv6-Plang op, genuch ze sinn. Eenzegaartege lokale Adresséierung kaaft privat Erreechbarkeet an erstellt keen ëffentlechen IPv6-Egress, dofir wäert en Design, deen unhëlt datt d'Famill ouni Nummer einfach de IPv4-Maskeréierungsregelen nolauschtert, seng Benotzer enttäuschen. Wann den ëffentlechen IPv6-Zougang Deel vun der Ufuerderung ass, brauch en e gerouteten Plang an en Upstream, deen domat averstanen ass. Soss sot kloer, datt d'IPv6-Säit nëmmen privat ass, wat eng éierlech Grenz ass an net eng Aschränkung déi een ze verstoppe brauch.

Maach DNS an Zréckweeër bewosst

Nuem-Opléisung follegt net dem Transport. En Opléiser kann A- an AAAA-Records iwwer en nëmmen-IPv4-Tunnel zréckginn, an de Client wäert dann eng Famill probéieren, déi s de ni geplangt hues. Entscheet, wéi eng Service-Nimm brauchbar Duebelstack-Äntwerten droe sollen, a maach béid Weeër bewosst. En Numm, deen op eng Famill ouni funktionéierende Wee opléist, produzéiert eng Stockung an net e propperen Feeler, an Stockunge si vill méi schwéier ze diagnostizéieren.

Dokumentéier d'Erreechbarkeet vum baussenzegen Endpunkt getrennt, dorënner ob iergendeng NAT-Duerchgang am Spill ass a wéi eng Famill si benotzt.

Schreif dann de Plang a sechs Zeilen: baussenzegen Endpunkt, IPv4-Pool, IPv6-Pool, IPv4-Service-Prefix, IPv6-Service-Prefix, an de Router deen d'Äntwerten fir jidderee besëtzt. E Plang an där Form äntwert op d'Froen, déi en Operateur tatsächlech um dräi Auer moies stellt. Alles méi Kuerzes léisst den Duebelstack als zweet Adress un eng nëmmen-IPv4-Politik ugeschrauft, an esou ennd et meeschtens hallef ze funktionéieren.