Хос стек VPN пулууд: strongSwan-д хоёр гэр бүлийг хоёуланг нь харилцуулах

Дотоод IPv4 ба IPv6 пулууд, хамгаалагдсан префиксүүд болон гадаад туннелийн гэр бүл нь гурван тусдаа шийдвэр юм. Хос стек гэж нэрлэхийн өмнө тус бүрийг нь төлөвлөөрэй.

Гарц нь аялагч хэрэглэгчид IPv4 ба IPv6 виртуал хаягийг хоёуланг нь өгч болох бөгөөд гадаад туннель нь IPv4 дээгүүр явсаар байна. Эдгээр нь бие даасан шийдвэр бөгөөд тэдгээрийг нэг гэж үзэх нь хос стекийн төлөвлөгөө ихэвчлэн нурах цэг юм. Хэрэглэгчийн дотоод гэр бүлүүд, түүний хүрч чадах хамгаалагдсан префиксүүд, капсулчлалыг зөөдөг тээвэр нь гурван тусдаа сонголт юм.

Ихэнх будлиан нь хос стек гэдэг үгийг зөвхөн нэг газарт хос стек байдаг загварт хэрэглэснээс үүдэлтэй. Үйлчилгээ нь дотооддоо хос стек, гадаад хаяг дээрээ нэг стек байж, хэрэглэгчдэд төгс сайн ажиллаж чадна. Хийж чадахгүй зүйл нь санамсаргүйгээр ажиллах явдал юм.

Дотор нь хоёр гэр бүл, гадна нь нэг зам

Гадаад холболт нь UDP дээрх IKE бөгөөд хэрэглэгч хаана байгаагаас үл хамааран нэг хүрч болох хаягийн гэр бүл шаардлагатай. Дотоод IPv6 хаяг нь IPv6 дэмждэг үйлчилгээ үзүүлэгч шаарддаггүй, учир нь дотоод пакет нь гадаад пакетийн доторх ачаа юм. Олон ажиллаж буй байршуулалт IPv6 префиксүүдийг зөвхөн IPv4 бүхий дээд холбоосоор дамжуулдаг.

Гадаад зам үнэхээр хязгаарладаг зүйл нь хүртээмж ба NAT дамжуулалт юм. Хэрэв гарц зөвхөн IPv4 хаяг зарлавал зөвхөн IPv6 сүлжээнд байгаа хэрэглэгч ямар ч пул тохируулсан ч огт холбогдохгүй. Гадаад гэр бүлийг хэрэглэгчдийн тооноос хамааруулан шийдээрэй, дотоод хаягийн төлөвлөгөөнөөс биш.

Гэр бүл бүрд хэрэглэгчид хаяг өг

Хоёр гэр бүлийг хоёуланг нь хүсэх нь хэрэглэгчийн талд нэг мөрт мэдэгдэл бөгөөд гарц тараах зүйлтэй бол. Нэртэй пулууд эх сурвалжийг үйлчилгээний сүлжээнээс тусгаар байлгадаг бөгөөд энэ шинж чанар нь галт ханын дүрмийг зургаан сарын дараа ч уншигдахуйц болгодог.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Утга vips нь гэр бүл бүрээс нэг хаяг хүсдэг бөгөөд пулуудын жагсаалт тэдгээр хаяг хаанаас ирэхийг шийддэг. Баримт бичиг strongSwan-ийн виртуал IP-ийн тухай олон хүсэлт болон пулын хуваарилалтыг хамардаг, үүний дотор тодорхой хаяг хүссэн хэрэглэгч зөвхөн хариулагчийн хүчингүй болгож болох давуу эрх илэрхийлдэг гэдэг асуудал ч багтана. Хэрэглэгч үргэлж ижил утгыг авдаг гэж үзсэн хандалтын дүрэм бүү байгуул.

Жишээг хуулахын оронд өөрийн өвөрмөц орон нутгийн префиксыг үүсгээрэй. Хоёулаа fd42::/16 нэвтрүүлсэн хоёр байгууллага анх хоорондоо холбогдох үед зөрчилдөөнийг илрүүлэх бөгөөд үүнийг оношлох нь таатай биш.

Сонгогчид очих газрыг тодорхойлдог, эх сурвалжийг биш

Хүүхэд SA-ийн орон нутгийн урсгалын сонгогчид гарцын ард ямар хамгаалагдсан сүлжээ байгааг хэлдэг, алсын сонгогчид хэрэглэгч эх сурвалж болгон юу ашиглаж болохыг тодорхойлдог. Виртуал пулын хаяг нь тухайн бодлогын эх сурвалжийн талд хамаарна; түүнийг очих газрын жагсаалтад хийх нь тохиргоог түгээмэл буруу унших явдал юм.

Хоёр гэр бүлд гарц дээр буцах маршрут болон зөвшөөрөгдсөн дамжуулалт хэрэгтэй. Пул руу буцах маршрутгүйгээр сонгогчид префикс нэмэх нь бий болж, урсгалын нэг чиглэлийг нэвтрүүлж, хариуг чимээгүй хаядаг туннель үүсгэдэг. Сонгогч нь бодлого, маршрутлалт биш.

Пулууд болон үйлчилгээний префиксүүдийг хаягийн төлөвлөгөөнийхөө тусдаа блокт байлгаарай. Тэд давхцах үед хамгаалагдсан хостод хүрэх ёстой маршрут пулын хаягтай таарч туннель дотор алга болж болно.

DNS болон хариуны зам нь дууссан мэт санагдах эсэхийг шийддэг

Шийдэгчийн хариултууд нь шийдэгчид хүрэхэд ашигласан тээврээс хамааралгүй. Нэр нь A бичлэг, AAAA бичлэг эсвэл хоёуланг нь буцааж болох бөгөөд хэрэглэгч өөрийн давуу эрхийн дүрмээр сонгодог. Хэрэв дотоод үйлчилгээ AAAA бичлэг нийтэлдэг ч тэр префиксыг юу ч маршрутладаггүй бол хос стек сүлжээн дэх хэрэглэгчид эхлээд IPv6 замыг туршиж, бүтэлгүйтэх хүртэл тэнд сууна. Тэр үед туннелийн тохиргоонд юу ч буруу харагдахгүй.

Тиймээс нэр бүрд ямар гэр бүл ашиглах боломжтой байх ёстойг шийдэж, дараа нь холбогдох префикс сонгогчид байгаа эсэх, буцах маршруттай эсэхийг шалгаарай. Энэ нь үйлчилгээ тус бүрийн шийдвэр юм. Хоёр төрлийн бичлэгийг ялгалгүй нийтлэх нь ажиллаж байсан зөвхөн IPv4 үйлчилгээ хэрэглэгчдийнхээ тал хувьд хугацаа хэтэрч эхлэх зам юм.

Дууссан гэж нэрлэхийн өмнө хоёр гэр бүлийг шалгаарай

Ачаалагддаг тохиргоо нь ажилладаг тохиргоо биш. Демоны мэдээлсэн төлөвийг уншиж, пулын хуваарилалтыг баталгаажуулаад, дараа нь хэрэглэгчийн бодитоор суулгасан маршрутуудыг хараарай.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Эхний хоёр команд нь тогтоогдсон хүүхэд SA-ууд болон аль пулд чөлөөт хаяг байгааг харуулдаг тул эхний хэрэглэгчид ажиллаж, арав дахьд нь бүтэлгүйтдэг төлөвлөгөө харагдана. Сүүлийн хоёр нь хэрэглэгч пулаас глобал IPv6 хаяг авсан эсэх, хамгаалагдсан префикс рүү урсгал үнэндээ хаашаа явахыг харуулна. Олгогдсон хаягийг таны тохируулсан пултай харьцуулаарай, хүлээж байсан хаягтай биш. Хэрэв хариулагч бодлогынхоо дагуу өөр утга сонгосон бол маршрутууд болон галт ханын дүрмүүд түүний сонголттой нийцэх ёстой.

Дараа нь гэр бүл бүрд нэг хамгаалагдсан хост, мөн хоёуланд нь шийдэгддэг нэрийг туршаарай. Нэг гэр бүлийн туршилт нь таны дадлагажаагүй төлөвлөгөөний тал хувийн талаар юу ч хэлэхгүй бөгөөд дутуу маршрут ихэвчлэн тэр хагаст байдаг.

Холбоотой нийтлэлүүд