strongSwan vips: virtuālās adreses pieprasīšana no IKEv2

vips pieprasa iekšējo IKEv2 adresi; vārteja izlemj, ko piešķirt. Konfigurējiet pieprasījumu, ielādējiet to un pēc tam pārbaudiet, ko atbildētājs faktiski piešķīra.

Jūsu IKEv2 klients var pieprasīt vārtejai iekšējo adresi, un vārteja izlemj, ko atdot atpakaļ. strongSwan gadījumā šis pieprasījums ir iestatījums vips, un tas paliek pieprasījums pat tad, ja tajā ierakstāt konkrētu adresi. Tālāk esošā instrukcija konfigurē pieprasījumu, ielādē to un nolasa, kas atgriezās, jo šie trīs soļi neizdodas trīs dažādos veidos. Neviens no tiem nekļūst īsāks, cik stipri vien rakstītu.

Ko vips pieprasa un ko tas nevar apsolīt

vips pieder pie savienojuma definīcijas un pieprasa atbildētājam virtuālo adresi. strongSwan virtuālo adrešu rokasgrāmata skaidri norāda, ka atbilde var būt cita adrese vai arī nekas, un tieši šo teikumu cilvēki izlaiž, kad ieraksta vērtību un gaida, ka tā parādīsies. Pieprasījums tomēr ir tā vērts, jo pārbaudāt tieši atbildi. Uztveriet iestatījumu kā norādi pajautāt, nevis kā rezultāta konfigurāciju.

Pieprasot 0.0.0.0, tiek pieprasīta jebkura pieejamā IPv4 virtuālā adrese, kas parasti ir pareizi, ja precīzajai vērtībai nav nozīmes. Konkrētas adreses pieprasīšana ir mājiens vārtejai, nevis prasība pret to.

swanctl fragments un tā vieta

Iestatījums atrodas savienojuma blokā, nevis savā failā un ne operētājsistēmas profilā. Šis atsevišķais fragments parāda formu:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Ielādējiet to ar failu, kuram pieder savienojums, pēc tam sāciet savienojumu un nolasiet rezultātu. Nepareizajā sadaļā ielīmēts fragments rada parsēšanas kļūdu vai, vēl ļaunāk, savienojumu, kas ielādējas bez pieprasījuma, kuru domājāt esam izveidojis. Palaidiet trīs komandas pēc kārtas un saglabājiet izvadi.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts izvēlas trafiku, nevis rada adresi

local_ts nosauc trafika kopu, ko aizsargā pakārtotais SA; tas neliek adresi saskarnē. Kad virtuālā IP ir saskaņota, strongSwan pārstāj izmantot savu noklusējuma dinamisko atlasītāju un tā vietā izmanto piešķirto adresi. Ja piespraudīsiet atlasītāju pie burtiskas adreses, jūs apgalvojat kaut ko tādu, ko vārteja varbūt nav piešķīrusi, un tāpēc kļūme izpaužas kā strādājošs SA ar trafiku, kas nekur nenonāk. Atlasītājs apraksta trafiku, bet piešķīrums nāk no otras apmaiņas.

Otrs veids, kā iegūt stabilu iekšējo adresi, ir pārvaldīt to lokāli. Ievietojiet adresi saskarnē pirms tuneļa pacelšanas, vērsiet atlasītāju uz to, kas jau pastāv, un sakārtojiet partneri un maršrutu ap to.

Šajā konstrukcijā nekas netiek saskaņots, tāpēc neko nevar pārpiešķirt, un tas ir darījums: determinisms apmaiņā pret to, ka adresācijas darbu veicat paši. Tas ir cits mehānisms, nevis vips variants, tāpēc abus nevajadzētu jaukt vienā savienojumā. Piesprausts atlasītājs blakus saskaņotai adresei ir savienojums, kas strādā, līdz vārteja izsniedz kaut ko citu.

Pārbaudiet, ko atbildētājs faktiski piešķīra

Izlasiet SA sarakstu, lai atrastu adresi, ko vārteja piešķīra, pēc tam apstipriniet, ka adrese pastāv saskarnē. Ja abi nesakrīt, tunelis ir pacelts un trafiks neiet tur, kur domājat. Piešķirtā adrese, kas nekad nenonāk saskarnē, ir mulsinošākā kļūme šajā secībā, jo katra puse atsevišķi izskatās pareiza.

Paturiet piezīmēs četras adreses atsevišķi: pieprasīto iekšējo adresi, piešķirto, mašīnas LAN adresi un publisko izeju, ko ziņo kāda vietne. Tās pieder dažādiem slāņiem un parādās dažādās vietās. Instrukcija, kurā fiksētas visas četras, ir tāda, kurai cits cilvēks var sekot, nejautājot, kuru adresi jūs domājāt. Nolasiet tās vēlreiz pēc katras pārlades, jo piešķirtā vērtība ir vienīgā, kas apraksta dzīvo tuneli.

Turiet statisko konstrukciju atsevišķi

Ja jums nepieciešama fiksēta iekšējā adrese, sakārtojiet rezervāciju vārtejā un atstājiet klienta pieprasījumu kā pieprasījumu. Piesprausta atlasītāja sajaukšana ar saskaņotu adresi dod savienojumu, kas strādā, līdz vārteja piešķir kaut ko citu. Pierakstiet rezervācijas noteikumu blakus savienojumam, jo tā ir daļa, ko kolēģis nevar izsecināt no konfigurācijas faila. Tad jauns klients manto noteikumu, nevis atklāj to no jauna.

Iebūvētajā Mac klientā neviena no šiem opciju nosaukumiem nav. Izmantojiet jebkuru piešķīrumu vai rezervāciju, ko piedāvā vārteja, un profilu, ko publicē operators, un uzskatiet jebkuru klienta puses vērtību par mājienu, līdz esat nolasījis piešķīrumu atpakaļ. Atritināšana nozīmē noņemt vips rindu un pārladēt, kas atgriež jūs pie tā, ko vārteja piešķir pēc noklusējuma.

Saistītie raksti