strongSwan सह दुहेरी-स्टॅक IKEv2 खाजगी प्रवेशाचे नियोजन

दुहेरी-स्टॅक बोगदा हा एक निर्णय नसून तीन आहेत, आणि त्यांना वेगवेगळे उत्तर देता येते। बाह्य बोगदा कोणत्या कुटुंबावरून जातो, क्लायंटला आत कोणती कुटुंबे मिळतात, आणि संरक्षित सेवा प्रत्यक्षात कोणत्या कुटुंबांवर उत्तर देतात। त्यांना एकच पर्याय मानणारी रचना एकतर कधीही आवश्यक नसलेले IPv6 वाहते, किंवा असे पत्ते वाटते जे कोणीही परत राउट करू शकत नाही। तीन वेगळे करा आणि उर्वरित संरचना जवळजवळ यांत्रिक होते।

तीन प्रकारचे पत्ते, वेगळे ठरवलेले

बाह्य पत्ता म्हणजे दोन गेटवे एकमेकांपर्यंत कसे पोहोचतात, आणि आतील रहदारी दोन्ही कुटुंबे वाहत असतानाही तो IPv4 असू शकतो। आतील व्हर्च्युअल पत्ता म्हणजे बोगद्यातील क्लायंटची ओळख, आणि प्रत्येक कुटुंबाला स्वतःचा पूल लागतो। संरक्षित उपसर्ग म्हणजे क्लायंट जिथपर्यंत पोहोचू शकतो, आणि ते बोगद्याचे नसून सेवांचे आहेत। तिसऱ्याचा दुसऱ्याशी गोंधळ केल्याने बहुतेक नियोजन चुका होतात, कारण दोन्ही खाजगी श्रेणींसारखे दिसतात।

फक्त IPv4 बाह्य वाहतूक आणि दुहेरी-स्टॅक आतील रहदारी ही सामान्य आणि चांगल्या प्रकारे समर्थित व्यवस्था आहे।

प्रत्येकाचे स्पष्टपणे निर्णय घ्या आणि निर्णय लिहून ठेवा। बाह्य मार्ग फक्त IPv4 असल्यास तसे सांगा आणि IPv6 टोकांच्या पोहोचक्षमतेची चिंता करणे थांबवा। आत एखादे कुटुंब नेमून दिले पण त्यावर काहीही उत्तर देत नसेल, तर ते योजनेतून काढा किंवा त्या सेवा खऱ्या अर्थाने दुहेरी-स्टॅक करा।

प्रत्येक कुटुंबात व्हर्च्युअल पत्ता नेमून द्या

swanctl संरचनेत क्लायंट व्हर्च्युअल पत्ते मागतो, आणि प्रत्येक कुटुंबातील वाइल्डकार्ड उत्तरदात्याला प्रत्येकातून एक नेमून देण्यास सांगते। उत्तरदाता ते पूलमधून घेतो, आणि पूल गेटवेच्या मागील नेटवर्कपासून वेगळ्या वस्तू आहेत। योजनेतही ते वेगळे ठेवा, कारण सेवा उपसर्गाशी ओव्हरलॅप होणारा पूल असे राउटिंग तयार करतो जे रहदारी अनपेक्षित ठिकाणी उतरण्याच्या क्षणापर्यंत बरोबर दिसते।

दोन्ही लागतात तेव्हा दोन्ही कुटुंबे मागा, आणि लागत नाहीत तेव्हा एक, कारण न वापरलेला पत्ता फायद्याशिवाय धोरणाचा पृष्ठभाग आहे। विशिष्ट विनंती ही विनंती आहे, आरक्षण नाही, आणि उत्तरदाता त्याच्या स्वतःच्या धोरणानुसार वेगळे मूल्य परत देऊ शकतो। तपशील तिथे महत्त्वाचा असतो जिथे पत्ता फायरवॉल नियमात किंवा देखरेख तपासणीत कठोरपणे लिहिलेला असतो। कनेक्शनमध्ये पूलांचा नावाने उल्लेख करा आणि सेवा नेटवर्क त्यांच्या बाहेर ठेवा।

vips = 0.0.0.0, ::

लहान उदाहरण मूल्य स्वीकारण्याऐवजी IPv6 पूलासाठी तुमचा स्वतःचा अद्वितीय-स्थानिक उपसर्ग तयार करा। उदाहरण सेटिंगचा आकार दाखवते, वारसा मिळणारे डीफॉल्ट नाही।

गंतव्यस्थाने पूलांपासून वेगळी वर्णन करा

रहदारी निवडक प्रत्येक बाजू काय देवाणघेवाण करण्याची अपेक्षा करते ते वर्णन करतात, म्हणून गेटवेच्या स्थानिक निवडकांनी संरक्षित सेवा उपसर्गांची नावे द्यावीत, क्लायंट पूलांची नाही। क्लायंटचे दूरस्थ निवडक तो हेतू प्रतिबिंबित करतात। दोन्ही याद्या वेगळ्या वस्तूंचे वर्णन करत असतील, तर बोगदा वर येऊ शकतो आणि तरीही काही उपयुक्त वाहत नाही।

त्याच उपसर्गांना गेटवेच्या नेटवर्कमध्ये परतीचे मार्ग आणि परवानगी दिलेले अग्रेषण लागते, तुम्ही सक्षम करता त्या प्रत्येक कुटुंबासाठी।

इथेच खाजगी IPv6 योजना पुरेशी राहणे थांबते। अद्वितीय-स्थानिक पत्तापद्धती खाजगी पोहोचक्षमता विकत घेते आणि सार्वजनिक IPv6 इग्रेस तयार करत नाही, म्हणून क्रमांक नसलेले कुटुंब फक्त IPv4 मास्करेडिंग नियमांचे पालन करेल असे गृहीत धरणारी रचना त्याच्या वापरकर्त्यांना निराश करेल। सार्वजनिक IPv6 प्रवेश आवश्यकतेचा भाग असल्यास त्याला राउटेड योजना आणि तिला सहमत असणारा अपस्ट्रीम लागतो। अन्यथा IPv6 बाजू केवळ खाजगी आहे असे स्पष्ट सांगा, जी लपवायची मर्यादा नसून प्रामाणिक सीमा आहे।

DNS आणि परतीचे मार्ग जाणीवपूर्वक करा

नाव निराकरण वाहतुकीचे अनुसरण करत नाही। रिझोल्व्हर फक्त IPv4 बोगद्यावरून A आणि AAAA नोंदी परत देऊ शकतो, आणि मग क्लायंट तुम्ही कधीही नियोजित न केलेल्या कुटुंबाचा प्रयत्न करेल। कोणत्या सेवा नावांनी उपयुक्त दुहेरी-स्टॅक उत्तरे असावीत हे ठरवा आणि ते दोन्ही मार्ग जाणीवपूर्वक करा। कार्यरत मार्ग नसलेल्या कुटुंबात निराकरण होणारे नाव स्वच्छ त्रुटीऐवजी स्तब्धता निर्माण करते, आणि स्तब्धतेचे निदान करणे खूप कठीण असते।

बाह्य टोकाची पोहोचक्षमता वेगळी नोंदवा, यात कोणतेही NAT ओलांडणे सहभागी आहे का आणि ते कोणते कुटुंब वापरते याचाही समावेश आहे।

मग योजना सहा ओळींत लिहा: बाह्य टोक, IPv4 पूल, IPv6 पूल, IPv4 सेवा उपसर्ग, IPv6 सेवा उपसर्ग, आणि प्रत्येकाची उत्तरे असणारा राउटर। त्या आकाराची योजना रात्री तीन वाजता ऑपरेटर खरोखर विचारतो त्या प्रश्नांची उत्तरे देते। यापेक्षा छोटे काहीही दुहेरी स्टॅकला केवळ IPv4 धोरणाला बांधलेला दुसरा पत्ता म्हणून सोडते, आणि सहसा ते अर्धवट काम करत राहते।