Divkāršā steka IKEv2 privātās piekļuves plānošana ar strongSwan

Divkāršā steka tunelis nav viens lēmums, bet trīs, un uz tiem var atbildēt dažādi. Pa kuru saimi iet ārējais tunelis, kuras saimes klients saņem iekšpusē un kurās saimēs aizsargātie pakalpojumi patiešām atbild. Projektējums, kas tos uzskata par vienu izvēli, vai nu nes IPv6, kas nekad nebija vajadzīgs, vai arī izdala adreses, kuras nekas nevar maršrutēt atpakaļ. Atdaliet trīs, un pārējā konfigurācija kļūst gandrīz mehāniska.

Trīs adrešu veidi, izlemti atsevišķi

Ārējā adrese ir tas, kā divi vārteji sasniedz viens otru, un tā var būt IPv4, kamēr iekšējā plūsma nes abas saimes. Iekšējā virtuālā adrese ir klienta identitāte tuneļa iekšpusē, un katrai saimei vajag savu baseinu. Aizsargātie prefiksi ir tas, ko klients drīkst sasniegt, un tie pieder pakalpojumiem, nevis tunelim. Trešā sajaukšana ar otro izraisa lielāko daļu plānošanas kļūdu, jo abi izskatās kā privāti diapazoni.

Ārējais transports tikai ar IPv4 un iekšējā divkāršā steka plūsma ir normāls un labi atbalstīts izkārtojums.

Izlemiet katru skaidri un pierakstiet lēmumus. Ja ārējais ceļš ir tikai IPv4, sakiet to un pārstājiet uztraukties par IPv6 galapunktu sasniedzamību. Ja saime tiek piešķirta iekšpusē, bet nekas uz to neatbild, vai nu izņemiet to no plāna, vai padariet šos pakalpojumus patiešām divkāršā steka.

Piešķiriet virtuālo adresi katrā saimē

swanctl konfigurācijā klients pieprasa virtuālās adreses, un aizstājējzīme katrā saimē lūdz atbildētāju piešķirt pa vienai no katras. Atbildētājs tās ņem no baseiniem, un baseini ir atsevišķi objekti no tīkliem aiz vārteja. Turiet tos atsevišķi arī plānā, jo baseins, kas pārklājas ar pakalpojuma prefiksu, rada maršrutēšanu, kas izskatās pareiza līdz brīdim, kad plūsma nokļūst nevēlamā vietā.

Pieprasiet abas saimes, kad vajag abas, un vienu, kad nevajag, jo neizmantota adrese ir politiskā virsma bez ieguvuma. Konkrēts pieprasījums ir pieprasījums, nevis rezervācija, un atbildētājs var atgriezt citu vērtību saskaņā ar savu politiku. Šī detaļa ir svarīga visur, kur adrese ir stingri ierakstīta ugunsmūra noteikumā vai uzraudzības pārbaudē. Atsaucieties uz baseiniem pēc nosaukuma savienojumā un turiet pakalpojumu tīklus ārpus tiem.

vips = 0.0.0.0, ::

Ģenerējiet savu unikālo lokālo prefiksu IPv6 baseinam, nevis pārņemiet īsu piemēra vērtību. Piemērs parāda iestatījuma formu, nevis noklusējuma vērtību, kas jāmanto.

Aprakstiet galamērķus atsevišķi no baseiniem

Plūsmas atlasītāji apraksta, ko katra puse sagaida apmainīt, tāpēc vārteja lokālajiem atlasītājiem jānosauc aizsargātie pakalpojumu prefiksi, nevis klientu baseini. Klienta attālinātie atlasītāji atspoguļo šo nodomu. Kad divi saraksti apraksta dažādus objektus, tunelis var pacelties un tomēr neneš neko noderīgu.

Tiem pašiem prefiksiem vajag atgriešanās maršrutus un atļautu pāradresāciju vārteja tīklā, katrai saimei, kuru iespējosiet.

Šeit privāts IPv6 plāns pārstāj būt pietiekams. Unikāla lokālā adresācija nopērk privātu sasniedzamību un neveido publisku IPv6 izeju, tāpēc projektējums, kas pieņem, ka nenumurētā saime vienkārši sekos IPv4 maskēšanas noteikumiem, pievils savus lietotājus. Ja publiska IPv6 piekļuve ir prasības daļa, tai vajag maršrutētu plānu un augšupēju, kas tam piekrīt. Pretējā gadījumā skaidri sakiet, ka IPv6 puse ir tikai privāta, kas ir godīga robeža, nevis slēpjams ierobežojums.

Padariet DNS un atgriešanās ceļus apzinātus

Nosaukumu izšķiršana neseko transportam. Izšķirtājs var atgriezt A un AAAA ierakstus pa tikai IPv4 tuneli, un klients tad mēģinās saimi, kuru jūs nekad neplānojāt. Izlemiet, kuriem pakalpojumu nosaukumiem jānes lietderīgas divkāršā steka atbildes, un padariet abus ceļus apzinātus. Nosaukums, kas izšķiras uz saimi bez strādājoša ceļa, rada apstāšanos, nevis tīru kļūdu, un apstāšanās ir daudz grūtāk diagnosticēt.

Dokumentējiet ārējā galapunkta sasniedzamību atsevišķi, tostarp vai spēlē ir kāda NAT šķērsošana un kuru saimi tā izmanto.

Pēc tam ierakstiet plānu sešās rindās: ārējais galapunkts, IPv4 baseins, IPv6 baseins, IPv4 pakalpojuma prefikss, IPv6 pakalpojuma prefikss un maršrutētājs, kam pieder katras atbildes. Šādas formas plāns atbild uz jautājumiem, ko operators patiešām uzdod trijos naktī. Viss īsāks atstāj divkāršo steku kā otru adresi, kas pieskrūvēta pie tikai IPv4 politikas, un tā tas parasti beidz strādāt uz pusi.