strongSwan vips: IKEv2-аас виртуал хаяг хүсэх

vips дотоод IKEv2 хаяг хүсдэг; гарц юу өгөхийг шийддэг. Хүсэлтийг тохируулж, ачаалаад, дараа нь хариулагч яг юу олгосныг шалгана уу.

Таны IKEv2 клиент гарцаас дотоод хаяг хүсч болох бөгөөд гарц юу буцаахыг өөрөө шийднэ. strongSwan-д энэ хүсэлт нь vips тохиргоо бөгөөд дотор нь тодорхой хаяг бичсэн ч хүсэлт хэвээрээ үлддэг. Доорх заавар хүсэлтийг тохируулж, ачаалж, юу буцаж ирснийг уншдаг, учир нь эдгээр гурван алхам гурван өөр аргаар бүтэлгүйтдэг. Аль нь ч илүү хүчтэй бичихээс богино болохгүй.

vips юу хүсдэг, юуг амлаж чадахгүй

vips холболтын тодорхойлолт дотор байрлаж, хариулагчаас виртуал хаяг хүсдэг. strongSwan-ы виртуал хаягийн гарын авлага хариулт өөр хаяг байж болно, эсвэл огт байхгүй байж болно гэдгийг тодорхой хэлдэг бөгөөд хүмүүс утга бичээд түүнийг гарч ирнэ гэж хүлээхдээ яг энэ өгүүлбэрийг алгасдаг. Хүсэлт гаргах нь ямар ч байсан үнэ цэнэтэй, учир нь та хариултыг шалгадаг. Тохиргоог үр дүнгийн конфигурац гэж биш, асуух заавар гэж үзээрэй.

0.0.0.0 хүсэх нь боломжтой дурын IPv4 виртуал хаяг хүсэхыг илэрхийлдэг бөгөөд яг утга чухал биш үед энэ нь ихэвчлэн зөв байдаг. Тодорхой хаяг хүсэх нь гарцад өгөх сануулга бөгөөд түүнд тавих шаардлага биш.

swanctl хэсэг ба түүний байр

Тохиргоо нь холболтын блок дотор байрладаг, өөрийн файлд ч биш, үйлдлийн системийн профайлд ч биш. Энэ тусгаарлагдсан хэсэг хэлбэрийг харуулж байна:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Холболтыг эзэмшдэг файлаар ачаалаад, дараа нь холболтыг эхлүүлж, үр дүнг уншина уу. Буруу хэсэгт наасан хэсэг нь задлан шинжилгээний алдаа эсвэл, илүү муу нь, та хийсэн гэж бодсон хүсэлтгүйгээр ачаалагдах холболтыг үүсгэдэг. Гурван командыг дараалан ажиллуулж, гаралтыг хадгалаарай.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts траффик сонгоно, хаяг үүсгэхгүй

local_ts нь охин SA-ийн хамгаалдаг траффикийн багцыг нэрлэдэг; энэ нь интерфейс дээр хаяг тавьдаггүй. Виртуал IP тохиролцсоны дараа strongSwan өөрийн анхдагч динамик сонгогчийг ашиглахаа болиод оронд нь олгосон хаягийг ашигладаг. Хэрэв сонгогчийг шууд утгат хаягт бэхэлбэл, гарц олгоогүй байж болох зүйлийг батлаж байгаа бөгөөд иймээс алдаа нь хаашаа ч явахгүй траффиктай ажиллаж буй SA хэлбэрээр илэрдэг. Сонгогч траффикийг тайлбарладаг бол олголт нь нөгөө солилцооноос ирдэг.

Тогтвортой дотоод хаяг авах өөр арга бол түүнийг локалаар эзэмших юм. Туннель босохоос өмнө хаягийг интерфейс дээр тавьж, сонгогчийг аль хэдийн байгаа зүйл рүү чиглүүлж, хамтрагч болон замыг түүний эргэн тойронд зохион байгуулаарай.

Тэр загварт юу ч тохиролцохгүй тул юуг ч дахин олгож болохгүй бөгөөд энэ нь солилцоо юм: хаяглалтын ажлыг өөрөө хийхийн оронд тодорхой байдал. Энэ нь vips-ийн хувилбар биш, өөр механизм тул хоёуланг нь нэг холболтод холих ёсгүй. Тохиролцсон хаягийн хажууд бэхэлсэн сонгогч нь гарц өөр зүйл олгох хүртэл ажилладаг холболт юм.

Хариулагч яг юу олгосныг шалгана уу

Гарцын олгосон хаягийн хувьд SA жагсаалтыг уншаад, дараа нь хаяг интерфейс дээр байгаа эсэхийг баталгаажуулаарай. Хэрэв хоёулаа таарахгүй бол туннель боссон, траффик таны бодож байгаа газарт явахгүй байна. Интерфейс дээр хэзээ ч хүрэхгүй олгосон хаяг нь энэ дарааллын хамгийн будлиантай алдаа, учир нь хагас бүр тусдаа зөв харагддаг.

Тэмдэглэлдээ дөрвөн хаягийг тусад нь хадгалаарай: хүссэн дотоод хаяг, олгосон хаяг, машины LAN хаяг, мөн ямар нэг вэбсайтын мэдээлдэг нийтийн гарц. Тэд өөр өөр давхаргад хамаарч, өөр өөр газарт харагддаг. Дөрвийг бүгдийг нь бүртгэсэн заавар бол таны хэлж байсан хаягийг асуухгүйгээр өөр хүн дагаж болох заавар юм. Дахин ачаалах бүрийн дараа тэдгээрийг дахин уншаарай, учир нь олгосон утга нь л амьд туннелийг тодорхойлдог.

Статик загварыг тусад нь хадгалаарай

Хэрэв танд тогтмол дотоод хаяг хэрэгтэй бол гарц дээр захиалга зохион байгуулж, клиентийн хүсэлтийг хүсэлт хэвээр үлдээгээрэй. Бэхэлсэн сонгогчийг тохиролцсон хаягтай холих нь гарц өөр зүйл олгох хүртэл ажилладаг холболт өгдөг. Захиалгын дүрмийг холболтын хажууд бичээрэй, учир нь энэ нь хамт олны конфигурацын файлаас гаргаж чадахгүй хэсэг юм. Тэгвэл шинэ клиент дүрмийг дахин нээхийн оронд өвлөн авдаг.

Суурилагдсан Mac клиентэд эдгээр тохиргооны нэрний аль нь ч байхгүй. Гарцын санал болгож буй аливаа олголт эсвэл захиалга, операторын нийтэлсэн профайлыг ашиглаж, олголтыг дахин унших хүртэл клиент талын аливаа утгыг сануулга гэж үзээрэй. Буцаах гэдэг нь vips мөрийг устгаж дахин ачаалах бөгөөд энэ нь гарцын анхдагчаар олгодог байдалд таныг буцаана.

Холбоотой нийтлэлүүд