Dvigubo kamino IKEv2 privataus priėjimo planavimas su strongSwan

Dvigubo kamino tunelis yra ne vienas sprendimas, o trys, ir į juos galima atsakyti skirtingai. Per kurią šeimą eina išorinis tunelis, kurias šeimas klientas gauna viduje ir kuriose šeimose apsaugotos paslaugos iš tikrųjų atsako. Projektas, kuris jas traktuoja kaip vieną pasirinkimą, arba neša IPv6, kurio niekada nereikėjo, arba dalija adresus, kurių niekas negali nukreipti atgal. Atskirkite tris ir likusi konfigūracija taps beveik mechaninė.

Trys adresų tipai, nuspręsti atskirai

Išorinis adresas yra tai, kaip du vartai pasiekia vienas kitą, ir jis gali būti IPv4, kol vidinis srautas neša abi šeimas. Vidinis virtualus adresas yra kliento tapatybė tunelio viduje, ir kiekvienai šeimai reikia savo baseino. Apsaugoti priešdėliai yra tai, ką klientas gali pasiekti, ir jie priklauso paslaugoms, o ne tuneliui. Trečiojo supainiojimas su antruoju sukelia daugumą planavimo klaidų, nes abu atrodo kaip privatūs diapazonai.

Išorinis transportas tik per IPv4 su dvigubo kamino vidiniu srautu yra normali ir gerai palaikoma tvarka.

Nuspręskite kiekvieną aiškiai ir užsirašykite sprendimus. Jei išorinis kelias yra tik IPv4, pasakykite tai ir nustokite jaudintis dėl IPv6 galinių taškų pasiekiamumo. Jei šeima priskiriama viduje, bet niekas joje neatsako, arba pašalinkite ją iš plano, arba padarykite tas paslaugas tikrai dvigubo kamino.

Priskirkite virtualų adresą kiekvienoje šeimoje

swanctl konfigūracijoje klientas prašo virtualių adresų, o pakaitos simbolis kiekvienoje šeimoje prašo atsakiklio priskirti po vieną iš kiekvienos. Atsakiklis juos ima iš baseinų, o baseinai yra atskiri objektai nuo tinklų už vartų. Laikykite juos atskirai ir plane, nes baseinas, kuris persidengia su paslaugos priešdėliu, sukuria maršrutizavimą, kuris atrodo teisingas iki to momento, kai srautas nusileidžia nepageidaujamoje vietoje.

Prašykite abiejų šeimų, kai reikia abiejų, ir vienos, kai nereikia, nes nenaudojamas adresas yra politikos paviršius be naudos. Konkretus prašymas yra prašymas, o ne rezervacija, ir atsakiklis gali grąžinti kitą reikšmę pagal savo politiką. Ši detalė svarbi visur, kur adresas kietai įrašytas ugniasienės taisyklėje ar stebėjimo patikroje. Nuorodykite į baseinus pagal pavadinimą jungtyje ir laikykite paslaugų tinklus už jų ribų.

vips = 0.0.0.0, ::

Sukurkite savo unikalų vietinį priešdėlį IPv6 baseinui, o ne perimkite trumpą pavyzdinę reikšmę. Pavyzdys rodo nustatymo formą, o ne numatytąją reikšmę, kurią reikia paveldėti.

Aprašykite paskirties vietas atskirai nuo baseinų

Srauto selektoriai aprašo, ką kiekviena pusė tikisi apsikeisti, todėl vartų vietiniai selektoriai turėtų įvardyti apsaugotus paslaugų priešdėlius, o ne klientų baseinus. Kliento nuotoliniai selektoriai atspindi tą ketinimą. Kai du sąrašai aprašo skirtingus objektus, tunelis gali pakilti ir vis tiek nieko naudingo nenešti.

Tiems patiems priešdėliams reikia grįžimo maršrutų ir leidžiamo persiuntimo vartų tinkle, kiekvienai šeimai, kurią įjungsite.

Čia privatus IPv6 planas nustoja būti pakankamas. Unikalus vietinis adresavimas nusiperka privatų pasiekiamumą ir nesukuria viešo IPv6 išėjimo, todėl projektas, kuris daro prielaidą, kad nenumeruota šeima paprasčiausiai laikysis IPv4 maskavimo taisyklių, nuvils savo naudotojus. Jei viešas IPv6 priėjimas yra reikalavimo dalis, jam reikia maršrutizuoto plano ir sutinkančio aukštinio srauto. Priešingu atveju aiškiai pasakykite, kad IPv6 pusė yra tik privati, o tai yra sąžininga riba, o ne slepiamas apribojimas.

Padarykite DNS ir grįžimo kelius sąmoningus

Vardų skiriamoji geba neseka transportu. Sprendėjas gali grąžinti A ir AAAA įrašus per tik IPv4 tunelį, ir tada klientas bandys šeimą, kurios niekada neplanavote. Nuspręskite, kurie paslaugų vardai turėtų turėti naudingus dvigubo kamino atsakymus, ir padarykite abu kelius sąmoningus. Vardas, kuris išsprendžiamas į šeimą be veikiančio kelio, sukelia sustojimą, o ne švarią klaidą, o sustojimus diagnozuoti daug sunkiau.

Dokumentuokite išorinio galinio taško pasiekiamumą atskirai, įskaitant ar dalyvauja koks nors NAT perėjimas ir kurią šeimą jis naudoja.

Tada parašykite planą šešiomis eilutėmis: išorinis galinis taškas, IPv4 baseinas, IPv6 baseinas, IPv4 paslaugos priešdėlis, IPv6 paslaugos priešdėlis ir maršrutizatorius, kuriam priklauso kiekvieno atsakymai. Tokios formos planas atsako į klausimus, kuriuos operatorius iš tikrųjų užduoda trečią valandą nakties. Viskas trumpiau palieka dvigubą kaminą kaip antrą adresą, pritvirtintą prie tik IPv4 politikos, ir taip ji paprastai baigia veikti pusiau.