strongSwan vips: IKEv2 no enger virtueller Adress froen

vips freet eng intern IKEv2-Adress un; de Gateway entscheet, wat en accordéiert. Konfiguréiert d’Ufro, luet se a kontrolléiert dann, wat de Responder tatsächlech zougewisen huet.

Ären IKEv2-Client kann de Gateway no enger interner Adress froen, an de Gateway entscheet, wat en zréckschéckt. A strongSwan ass déi Ufro d’Astellung vips, an et bleift eng Ufro, och wann Dir eng spezifesch Adress doranner schreift. Den Undeel hei drënner konfiguréiert d’Ufro, luet se a liest, wat zréckkoum, well déi dräi Schrëtt op dräi verschidde Manéieren feelen. Keen vun hinnen gëtt méi kuerz, wann een haart tippt.

Wat vips freet, a wat et net verspriechen kann

vips gehéiert an eng Verbindungsdefinitioun a freet de Responder no enger virtueller Adress. De strongSwan-Guide fir virtuell Adressen seet kloer, datt d’Äntwert eng aner Adress kann sinn, oder guer keng, an dat ass de Saz, deen d’Leit iwwersprangen, wa se e Wäert schreiwen an erwaarden, datt en erschéngt. D’Ufro ass nach ëmmer derwäert, well et d’Äntwert ass, déi Dir kontrolléiert. Behandelt d’Astellung als Uweisung fir ze froen, net als Konfiguratioun vum Resultat.

0.0.0.0 froen heescht, all disponibel IPv4 virtuell Adress ze froen, wat meeschtens richteg ass, wann de geneeë Wäert net wichteg ass. Eng spezifesch Adress froen ass en Hiweis un de Gateway, net eng Fuerderung un hien.

D’swanctl-Fragment a wou et gehéiert

D’Astellung sëtzt am Verbindungsblock, net an hirem eegene Fichier an net an engem Betribssystemprofil. Dëst isoléiert Fragment weist d’Form:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Luet et mam Fichier, deem d’Verbindung gehéiert, start da d’Verbindung a liest d’Resultat. E Fragment, dat an de falschen Abschnitt agefüügt gëtt, produzéiert e Parsefehler oder, méi schlëmm, eng Verbindung, déi ouni d’Ufro luet, déi Dir geduecht hutt gemaach ze hunn. Fëllt déi dräi Kommandoen an der Rei aus a behält d’Ausgab.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts wielt Traffic, et schaaft keng Adress

local_ts nennt de Set un Traffic, deen d’Kand-SA schützt; et setzt keng Adress op eng Interface. Soubal eng virtuell IP ausgehandelt ass, hält strongSwan op, säi Standard-dynamesche Selekter ze benotzen, a benotzt amplaz déi accordéiert Adress. Wann Dir de Selekter op eng wuertwiertlech Adress festnagelt, behaapt Dir eppes, wat de Gateway vläicht net accordéiert huet, an dofir erschéngt de Feeler als funktionéierend SA mat Traffic, deen néierens hien geet. De Selekter beschreift Traffic, wärend d’Zouweisung aus dem aneren Austausch kënnt.

Déi aner Manéier, eng stabil intern Adress ze kréien, ass se lokal ze besëtzen. Setzt d’Adress op eng Interface, ier den Tunnel eropkënnt, riicht de Selekter op dat, wat schonn existéiert, a arrangéiert de Peer an d’Route ronderëm.

An deem Design gëtt näischt ausgehandelt, also kann näischt nei zougewisen ginn, an dat ass den Tausch: Determinismus fir d’Adresséierungsaarbecht selwer ze maachen. Et ass en anere Mechanismus, net eng Variant vu vips, an dofir sollten déi zwee net an enger Verbindung gemëscht ginn. E festgenagelte Selekter nieft enger ausgehandelter Adress ass eng Verbindung, déi fonctionnéiert, bis de Gateway eppes anescht ausgëtt.

Kontrolléiert, wat de Responder tatsächlech zougewisen huet

Liest d’SA-Lëscht no der Adress, déi de Gateway accordéiert huet, a bestätegt dann, datt d’Adress op der Interface existéiert. Wann déi zwee net iwwereneestëmmen, ass den Tunnel erop an den Traffic geet net dohinner, wou Dir mengt. Eng accordéiert Adress, déi ni op d’Interface kënnt, ass de verwirrendste Feeler an dëser Sequenz, well all Halschent eleng richteg ausgesäit.

Hält véier Adressen auserneen an Ären Notizen: déi ugefrot intern Adress, déi accordéiert, d’LAN-Adress vum Apparat an den ëffentlechen Ausgang, deen eng Websäit mellt. Si gehéieren zu verschiddene Schichten a erschéngen op verschiddene Plazen. En Undeel, deen all véier festhält, ass een, deem een aneren nokomme kann, ouni ze froen, wéi eng Adress Dir gemengt hutt. Liest se no all Neiliess erëm, well de accordéierte Wäert deen eenzegen ass, deen den aktiven Tunnel beschreift.

Halt de stateschen Design getrennt

Wann Dir eng fest intern Adress braucht, arrangéiert d’Reservatioun um Gateway a loosst d’Ufro vum Client eng Ufro bleiwen. E festgenagelte Selekter mat enger ausgehandelter Adress mëschen gëtt eng Verbindung, déi fonctionnéiert, bis de Gateway eppes anescht zouweist. Schreift d’Reservatiounsregel nieft d’Verbindung, well dat ass den Deel, deen e Kolleg net aus dem Konfiguratiounsfichier ofleede kann. Dann ierft en neie Client d’Regel, amplaz se erëm z’entdecken.

Am integréierte Mac-Client existéiert keen vun dësen Optiounsnummen. Benotzt déi Zouweisung oder Reservatioun, déi de Gateway ubitt, an de Profil, deen den Operateur publizéiert, a behandelt all Wäert um Client-Säit als Hiweis, bis Dir d’Zouweisung erëmgelies hutt. Zréckrullen heescht, d’vips-Zeil ewechzehuelen an nei ze lueden, wat Iech zréckbréngt op dat, wat de Gateway standardméisseg zouweist.

Ähnlech Artikelen