strongSwan vips: kaip paprašyti IKEv2 virtualaus adreso

vips prašo vidinio IKEv2 adreso; tarpinė sistema sprendžia, ką suteikti. Suorganizuokite prašymą, įkelkite jį ir tada patikrinkite, ką atsakytojas iš tikrųjų priskyrė.

Jūsų IKEv2 klientas gali paprašyti tarpinės sistemos vidinio adreso, o tarpinė sistema sprendžia, ką grąžinti. strongSwan atveju tas prašymas yra nustatymas vips, ir jis lieka prašymu net tada, kai įrašote į jį konkretų adresą. Toliau pateiktas vadovas suorganizuoja prašymą, įkelia jį ir perskaito, kas grįžo, nes šie trys žingsniai nepavyksta trimis skirtingais būdais. Nė vienas jų netrumpėja stipriau spausdinant.

Ko prašo vips ir ko jis negali pažadėti

vips priklauso ryšio apibrėžimui ir prašo atsakytojo virtualaus adreso. strongSwan virtualiųjų adresų vadovas aiškiai sako, kad atsakymas gali būti kitas adresas arba visai nieko, ir būtent šį sakinį žmonės praleidžia, kai įrašo reikšmę ir tikisi, kad ji pasirodys. Prašymas vis tiek vertas pastangų, nes tikrinate būtent atsakymą. Nustatymą traktuokite kaip nurodymą paklausti, o ne kaip rezultato konfigūraciją.

Prašant 0.0.0.0 prašoma bet kurio galimo virtualaus IPv4 adreso, ir tai paprastai teisinga, kai tiksli reikšmė neturi reikšmės. Konkretaus adreso prašymas yra užuomina tarpinei sistemai, o ne reikalavimas jai.

swanctl fragmentas ir kur jam vieta

Nustatymas yra ryšio bloko viduje, ne savo faile ir ne operacinės sistemos profilyje. Šis atskiras fragmentas parodo formą:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Įkelkite jį failu, kuriam priklauso ryšys, tada paleiskite ryšį ir perskaitykite rezultatą. Į neteisingą skyrių įklijuotas fragmentas sukelia analizės klaidą arba, dar blogiau, ryšį, kuris įkeliamas be prašymo, kurį manėte pateikę. Paleiskite tris komandas iš eilės ir išsaugokite išvestį.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts parenka srautą, adreso nesukuria

local_ts įvardija srauto rinkinį, kurį saugo antrinis SA; jis nepriskiria adreso sąsajai. Kai virtualus IP suderėtas, strongSwan nustoja naudoti savo numatytąjį dinaminį selektorių ir vietoj jo naudoja suteiktą adresą. Jei prisegsite selektorių prie pažodinio adreso, teigsite tai, ko tarpinė sistema galėjo ir nesuteikti, todėl gedimas pasirodo kaip veikiantis SA, kurio srautas niekur nedingsta. Selektorius apibūdina srautą, o priskyrimas ateina iš kito mainų.

Kitas būdas gauti stabilų vidinį adresą yra jį turėti vietoje. Įdėkite adresą į sąsają prieš pakylant tuneliui, nukreipkite selektorių į tai, kas jau egzistuoja, ir sutvarkykite partnerį bei maršrutą aplink tai.

Toje konstrukcijoje niekas nesiderama, todėl nieko negalima perskirti iš naujo, ir tai yra mainai: determinizmas už tai, kad adresavimo darbą atliekate patys. Tai kitas mechanizmas, o ne vips variantas, todėl jų nereikėtų maišyti viename ryšyje. Prisegtas selektorius šalia suderėto adreso yra ryšys, kuris veikia tol, kol tarpinė sistema paskiria ką nors kita.

Patikrinkite, ką atsakytojas iš tikrųjų priskyrė

Perskaitykite SA sąrašą ir raskite adresą, kurį suteikė tarpinė sistema, tada patvirtinkite, kad adresas yra sąsajoje. Jei du nesutampa, tunelis pakilęs, o srautas neina ten, kur manote. Suteiktas adresas, kuris niekada nepasiekia sąsajos, yra painiausias gedimas šioje sekoje, nes kiekviena pusė atskirai atrodo teisinga.

Užrašuose laikykite keturis adresus atskirai: prašytą vidinį adresą, suteiktąjį, kompiuterio LAN adresą ir viešą išėjimą, apie kurį praneša kuri nors svetainė. Jie priklauso skirtingiems sluoksniams ir pasirodo skirtingose vietose. Vadovas, kuriame užfiksuoti visi keturi, yra toks, kuriuo kitas žmogus gali sekti nepaklausęs, kurį adresą turėjote omenyje. Perskaitykite juos dar kartą po kiekvieno įkėlimo, nes suteikta reikšmė yra vienintelė, apibūdinanti gyvą tunelį.

Laikykite statinę konstrukciją atskirai

Jei jums reikia fiksuoto vidinio adreso, suorganizuokite rezervaciją tarpinėje sistemoje ir palikite kliento prašymą prašymu. Prisegto selektoriaus maišymas su suderėtu adresu duoda ryšį, kuris veikia tol, kol tarpinė sistema paskiria ką nors kita. Užrašykite rezervacijos taisyklę šalia ryšio, nes tai yra dalis, kurios kolega negali išvesti iš konfigūracijos failo. Tada naujas klientas paveldi taisyklę, o ne atranda ją iš naujo.

Integruotame Mac kliente nė vieno iš šių parinkčių pavadinimų nėra. Naudokite bet kokį priskyrimą ar rezervaciją, kurią siūlo tarpinė sistema, ir profilį, kurį skelbia operatorius, o bet kokią kliento pusės reikšmę laikykite užuomina, kol perskaitysite priskyrimą atgal. Atšaukimas reiškia vips eilutės pašalinimą ir pakartotinį įkėlimą, o tai grąžina jus prie to, ką tarpinė sistema priskiria pagal nutylėjimą.

Susiję straipsniai