strongSwan vips: барање виртуелна адреса од IKEv2

vips бара внатрешна IKEv2 адреса; портата одлучува што ќе додели. Конфигурирајте го барањето, вчитајте го и потоа проверете што одговорниот навистина доделил.

Вашиот IKEv2 клиент може да побара внатрешна адреса од портата, а портата одлучува што ќе врати. Во strongSwan тоа барање е поставката vips и таа останува барање дури и кога во неа ќе напишете конкретна адреса. Упатството подолу го конфигурира барањето, го вчитува и чита што се вратило, бидејќи тие три чекори не успеваат на три различни начини. Ниту еден од нив не се скратува со посилно пишување.

Што бара vips и што не може да вети

vips припаѓа во дефиницијата за поврзување и бара виртуелна адреса од одговорниот. Водичот на strongSwan за виртуелни адреси јасно вели дека одговорот може да биде друга адреса или воопшто ништо, и токму таа реченица ја прескокнуваат луѓето кога пишуваат вредност и очекуваат таа да се појави. Барањето сепак вреди, зашто го проверувате одговорот. Третирајте ја поставката како упатство да прашате, а не како конфигурација на резултатот.

Барањето 0.0.0.0 бара која било достапна виртуелна IPv4 адреса, што обично е точно кога точната вредност не е важна. Барањето конкретна адреса е навестување до портата, а не барање кон неа.

Фрагментот swanctl и каде му е местото

Поставката стои во блокот за поврзување, не во сопствена датотека и не во профил на оперативниот систем. Овој изолиран фрагмент ја покажува формата:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Вчитајте го со датотеката што го поседува поврзувањето, потоа стартувајте го поврзувањето и прочитајте го резултатот. Фрагмент залепен во погрешниот дел дава грешка при анализа или, полошо, поврзување што се вчитува без барањето што мислевте дека сте го направиле. Извршете ги трите команди по ред и зачувајте го излезот.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts избира сообраќај, не создава адреса

local_ts ја именува групата сообраќај што го штити детскиот SA; тој не става адреса на интерфејс. Откако ќе се договори виртуелна IP, strongSwan престанува да го користи својот стандарден динамички избирач и наместо тоа ја користи доделената адреса. Ако го закачите избирачот за буквална адреса, тврдите нешто што портата можеби не го доделила, и затоа дефектот се појавува како исправен SA со сообраќај што не оди никаде. Избирачот го опишува сообраќајот, додека доделувањето доаѓа од другата размена.

Другиот начин да добиете стабилна внатрешна адреса е да ја поседувате локално. Ставете ја адресата на интерфејс пред да се крене тунелот, насочете го избирачот кон она што веќе постои и уредете го партнерот и рутата околу тоа.

Во тој дизајн ништо не се договара, па ништо не може да се прераспредели, и тоа е размената: детерминизам за тоа самите да ја завршите адресирачката работа. Тоа е различен механизам, а не варијанта на vips, поради што двете не треба да се мешаат во едно поврзување. Закачен избирач покрај договорена адреса е поврзување што работи додека портата не додели нешто друго.

Проверете што одговорниот навистина доделил

Прочитајте го списокот на SA за адресата што портата ја доделила, потоа потврдете дека адресата постои на интерфејсот. Ако двете не се совпаѓаат, тунелот е кренат, а сообраќајот не оди таму каде што мислите. Доделена адреса што никогаш не стигнува до интерфејсот е најзбунувачкиот дефект во оваа низа, бидејќи секоја половина изгледа исправна сама по себе.

Држете четири адреси одделно во белешките: побараната внатрешна адреса, доделената, LAN адресата на машината и јавниот излез што го пријавува некоја веб-страница. Тие припаѓаат на различни слоеви и се појавуваат на различни места. Упатство што ги запишува сите четири е такво што некој друг може да го следи без да праша која адреса ја мислевте. Прочитајте ги повторно по секое превчитување, бидејќи доделената вредност е единствената што го опишува живиот тунел.

Држете го статичниот дизајн одделно

Ако ви треба фиксна внатрешна адреса, уредете резервација на портата и оставете барањето на клиентот да биде барање. Мешањето закачен избирач со договорена адреса дава поврзување што работи додека портата не додели нешто друго. Запишете го правилото за резервација покрај поврзувањето, бидејќи тоа е делот што колегата не може да го заклучи од конфигурациската датотека. Тогаш новиот клиент го наследува правилото наместо повторно да го открива.

Во вградениот Mac клиент ниту едно од овие имиња на опции не постои. Користете какво било доделување или резервација што ја нуди портата и профилот што го објавува операторот, и третирајте која било вредност на страната на клиентот како навестување додека не го прочитате доделувањето назад. Враќањето назад значи отстранување на линијата vips и превчитување, што ве враќа на она што портата го доделува по стандард.

Поврзани статии