Merancang akses peribadi IKEv2 tindanan berganda dengan strongSwan

Tunnel tindanan berganda bukan satu keputusan tetapi tiga, dan setiap satu boleh dijawab secara berbeza. Keluarga mana tunnel luar berjalan, keluarga mana klien terima di dalam, dan keluarga mana perkhidmatan terlindung benar-benar menjawab. Reka bentuk yang menganggapnya satu pilihan sama ada membawa IPv6 yang tidak pernah diperlukan atau mengagihkan alamat yang tiada apa boleh menghalakan semula. Asingkan ketiga-tiganya dan selebihnya konfigurasi menjadi hampir mekanikal.

Tiga jenis alamat, diputuskan secara berasingan

Alamat luar ialah cara dua get laluan saling mencapai, dan ia boleh menjadi IPv4 sementara trafik dalam membawa kedua-dua keluarga. Alamat maya dalam ialah identiti klien di dalam tunnel, dan setiap keluarga memerlukan kumpulannya sendiri. Awalan terlindung ialah apa yang boleh dicapai oleh klien, dan ia milik perkhidmatan, bukan tunnel. Mengelirukan yang ketiga dengan yang kedua menyebabkan kebanyakan kesilapan perancangan, kerana kedua-duanya kelihatan seperti julat peribadi.

Pengangkutan luar IPv4 sahaja dengan trafik dalam tindanan berganda ialah susunan biasa dan disokong dengan baik.

Putuskan setiap satu secara jelas dan catat keputusannya. Jika laluan luar hanya IPv4, katakan demikian dan berhenti risau tentang capaian titik akhir IPv6. Jika sesuatu keluarga diperuntukkan di dalam tetapi tiada apa menjawabnya, sama ada keluarkannya daripada pelan atau jadikan perkhidmatan itu benar-benar tindanan berganda.

Peruntukkan alamat maya dalam setiap keluarga

Dalam konfigurasi swanctl klien meminta alamat maya, dan aksara kad liar dalam setiap keluarga meminta penjawab memperuntukkan satu daripada setiap keluarga. Penjawab mengambilnya daripada kumpulan, dan kumpulan ialah objek berasingan daripada rangkaian di belakang get laluan. Asingkannya juga dalam pelan, kerana kumpulan yang bertindih dengan awalan perkhidmatan menghasilkan penghalaan yang kelihatan betul sehingga saat trafik mendarat di tempat yang tidak dimaksudkan.

Minta kedua-dua keluarga apabila memerlukan kedua-duanya, dan satu apabila tidak, kerana alamat yang tidak digunakan ialah permukaan dasar tanpa faedah. Permintaan khusus ialah permintaan, bukan tempahan, dan penjawab boleh memulangkan nilai berbeza mengikut dasarnya sendiri. Butiran itu penting di mana-mana alamat dikodkan keras dalam peraturan tembok api atau pemeriksaan pemantauan. Rujuk kumpulan mengikut nama dalam sambungan dan jauhkan rangkaian perkhidmatan daripadanya.

vips = 0.0.0.0, ::

Jana awalan tempatan unik anda sendiri untuk kumpulan IPv6 daripada mengambil nilai contoh yang pendek. Contoh menunjukkan bentuk tetapan, bukan nilai lalai untuk diwarisi.

Huraikan destinasi berasingan daripada kumpulan

Pemilih trafik menghuraikan apa yang dijangka ditukar oleh setiap pihak, jadi pemilih tempatan get laluan harus menamakan awalan perkhidmatan terlindung dan bukan kumpulan klien. Pemilih jauh klien mencerminkan niat itu. Apabila kedua-dua senarai menghuraikan objek berbeza, tunnel boleh naik dan masih tidak membawa apa-apa yang berguna.

Awalan yang sama memerlukan laluan balik dan penghantaran dibenarkan di dalam rangkaian get laluan, untuk setiap keluarga yang anda dayakan.

Di sinilah pelan IPv6 peribadi berhenti memadai. Pengalamatan tempatan unik membeli capaian peribadi dan tidak mencipta egress IPv6 awam, jadi reka bentuk yang menganggap keluarga tanpa nombor akan sekadar mengikut peraturan penyamaran IPv4 akan mengecewakan penggunanya. Jika akses IPv6 awam ialah sebahagian daripada keperluan, ia memerlukan pelan berhalakan dan huluan yang bersetuju dengannya. Jika tidak, nyatakan dengan jelas bahawa bahagian IPv6 adalah peribadi sahaja, yang merupakan sempadan jujur dan bukan had untuk disembunyikan.

Jadikan DNS dan laluan balik disengajakan

Penyelesaian nama tidak mengikut pengangkutan. Penyelesai boleh memulangkan rekod A dan AAAA melalui tunnel IPv4 sahaja, dan klien kemudian akan mencuba keluarga yang tidak pernah anda rancang. Putuskan nama perkhidmatan mana yang harus membawa jawapan tindanan berganda yang boleh digunakan dan jadikan kedua-dua laluan itu disengajakan. Nama yang diselesaikan kepada keluarga tanpa laluan berfungsi menghasilkan genangan dan bukan ralat bersih, dan genangan jauh lebih sukar didiagnosis.

Dokumenkan capaian titik akhir luar secara berasingan, termasuk sama ada sebarang lintasan NAT terlibat dan keluarga mana yang digunakannya.

Kemudian tulis pelan dalam enam baris: titik akhir luar, kumpulan IPv4, kumpulan IPv6, awalan perkhidmatan IPv4, awalan perkhidmatan IPv6, dan penghala yang memiliki jawapan bagi setiap satu. Pelan dalam bentuk itu menjawab soalan yang benar-benar ditanya oleh pengendali pada pukul tiga pagi. Apa-apa yang lebih pendek meninggalkan tindanan berganda sebagai alamat kedua yang dibaut pada dasar IPv4 sahaja, dan begitulah ia biasanya berakhir separuh berfungsi.