Планирање на приватен пристап преку двостеков IKEv2 со strongSwan

Двостеков тунел не е една одлука туку три, и на нив може да се одговори различно. Низ кое семејство поминува надворешниот тунел, кои семејства ги добива клиентот внатре и на кои семејства навистина одговараат заштитените услуги. Дизајн што ги третира како еден избор или носи IPv6 што никогаш не бил потребен, или доделува адреси што ништо не може да ги насочи назад. Одделете ги трите и остатокот од конфигурацијата станува речиси механички.

Три вида адреси, одделно одлучени

Надворешната адреса е како двата порти стигнуваат еден до друг, и таа може да биде IPv4 додека внатрешниот сообраќај носи двете семејства. Внатрешната виртуелна адреса е идентитетот на клиентот внатре во тунелот, и секое семејство бара свој базен. Заштитените префикси се она до што клиентот смее да стигне, и тие им припаѓаат на услугите, а не на тунелот. Мешањето на третото со второто предизвикува повеќето грешки во планирањето, бидејќи двете изгледаат како приватни опсези.

Надворешен транспорт само преку IPv4 со внатрешен двостеков сообраќај е нормален и добро поддржан распоред.

Одлучете за секоја изречно и запишете ги одлуките. Ако надворешната патека е само IPv4, кажете го тоа и престанете да се грижите за достапноста на IPv6 крајните точки. Ако семејство е доделено внатре, но ништо не одговара на него, или отстранете го од планот или направете ги тие услуги навистина двостекови.

Доделете виртуелна адреса во секое семејство

Во swanctl конфигурација клиентот бара виртуелни адреси, и џокер знак во секое семејство бара од одговорниот да додели по една од секое. Одговорниот ги зема од базени, а базените се одделни објекти од мрежите зад портата. Држете ги одделни и во планот, бидејќи базен што се преклопува со префикс на услуга создава насочување што изгледа точно до моментот кога сообраќајот ќе слета некаде ненамерно.

Барајте ги двете семејства кога ви требаат двете, и едно кога не ви треба, бидејќи неискористена адреса е површина на политика без корист. Конкретното барање е барање, а не резервација, и одговорниот може да врати друга вредност според сопствената политика. Тој детаљ е важен насекаде каде адресата е тврдо запишана во правило на огнен ѕид или во проверка за следење. Повикајте се на базените по име во врската и држете ги мрежите на услугите надвор од нив.

vips = 0.0.0.0, ::

Создадете свој уникатен локален префикс за базенот IPv6 наместо да прифатите кратка примерна вредност. Примерот ја покажува формата на поставката, а не стандардна вредност што треба да се наследи.

Опишете ги дестинациите одделно од базените

Избирачите на сообраќај опишуваат што очекува да размени секоја страна, затоа локалните избирачи на портата треба да именуваат заштитени префикси на услуги, а не клиентски базени. Далечните избирачи на клиентот ја одразуваат таа намера. Кога двата списоци опишуваат различни објекти, тунелот може да се подигне и сепак да не носи ништо корисно.

Тие исти префикси бараат повратни маршрути и дозволено препраќање внатре во мрежата на портата, за секое семејство што ќе го вклучите.

Тука приватниот план за IPv6 престанува да биде доволен. Уникатното локално адресирање купува приватна достапност и не создава јавен излез IPv6, затоа дизајнот што претпоставува дека ненумерираното семејство едноставно ќе ги следи правилата за маскирање на IPv4 ќе ги разочара своите корисници. Ако јавниот пристап до IPv6 е дел од барањето, му треба насочен план и нагорен тек што се согласува со него. Инаку кажете јасно дека страната IPv6 е само приватна, што е чесна граница, а не ограничување што треба да се крие.

Направете ги DNS и повратните патеки намерни

Решение на имиња не го следи транспортот. Решавачот може да врати записи A и AAAA преку тунел само со IPv4, и клиентот тогаш ќе проба семејство што никогаш не сте го планирале. Одлучете кои имиња на услуги треба да носат употребливи двостекови одговори и направете ги двата патеки намерни. Име што се решава во семејство без работна патека создава застој, а не чиста грешка, а застоите се многу потешко да се дијагностицираат.

Документирајте ја достапноста на надворешната крајна точка одделно, вклучително дали е вклучено минување низ NAT и кое семејство го користи.

Потоа напишете го планот во шест реда: надворешна крајна точка, базен IPv4, базен IPv6, префикс на услуга IPv4, префикс на услуга IPv6 и насочувачот што ги поседува одговорите за секој. План со таа форма одговара на прашањата што операторот навистина ги поставува во три часот наутро. Сѐ пократко го остава двостекот како втора адреса прицврстена на политика само IPv4, и така обично завршува полуфункционален.