strongSwan vips: meminta alamat maya daripada IKEv2

Klien IKEv2 anda boleh meminta alamat dalaman daripada gateway, dan gateway menentukan apa yang akan dikembalikan. Dalam strongSwan, permintaan itu ialah tetapan vips, dan ia kekal sebagai permintaan walaupun anda menulis alamat tertentu ke dalamnya. Panduan di bawah mengkonfigurasi permintaan, memuatkannya dan membaca apa yang kembali, kerana ketiga-tiga langkah itu gagal dalam tiga cara berbeza. Tiada satu pun menjadi lebih pendek dengan menaip lebih kuat.

Apa yang diminta vips, dan apa yang tidak dapat dijanjikannya

vips tergolong dalam definisi sambungan dan meminta alamat maya daripada penjawab. Panduan alamat maya strongSwan menyatakan dengan jelas bahawa jawapannya boleh jadi alamat lain, atau tiada langsung, dan itulah ayat yang orang terlepas apabila mereka menulis nilai dan mengharapkannya muncul. Permintaan itu masih berbaloi, kerana yang anda sahkan ialah jawapannya. Anggap tetapan itu sebagai arahan untuk bertanya, bukan sebagai konfigurasi hasil.

Meminta 0.0.0.0 bermakna meminta mana-mana alamat maya IPv4 yang tersedia, yang biasanya betul apabila nilai tepat tidak penting. Meminta alamat tertentu ialah petunjuk kepada gateway, bukan tuntutan terhadapnya.

Serpihan swanctl dan tempatnya

Tetapan itu terletak di dalam blok sambungan, bukan dalam failnya sendiri dan bukan dalam profil sistem pengendalian. Serpihan terpencil ini menunjukkan bentuknya:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Muatkannya dengan fail yang memiliki sambungan itu, kemudian mulakan sambungan dan baca hasilnya. Serpihan yang ditampal pada bahagian yang salah menghasilkan ralat penghuraian atau, lebih teruk, sambungan yang dimuatkan tanpa permintaan yang anda sangka telah dibuat. Jalankan ketiga-tiga arahan mengikut urutan dan simpan outputnya.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts memilih trafik, ia tidak mencipta alamat

local_ts menamakan set trafik yang dilindungi oleh SA anak; ia tidak meletakkan alamat pada antara muka. Selepas IP maya dirundingkan, strongSwan berhenti menggunakan pemilih dinamik lalainya dan sebaliknya menggunakan alamat yang diberikan. Jika anda memakukan pemilih pada alamat literal, anda mendakwa sesuatu yang mungkin tidak diberikan oleh gateway, dan itulah sebabnya kegagalan muncul sebagai SA yang berfungsi dengan trafik yang tidak pergi ke mana-mana. Pemilih menerangkan trafik, manakala peruntukan datang daripada pertukaran yang lain.

Cara lain untuk mendapatkan alamat dalaman yang stabil ialah memilikinya secara setempat. Letakkan alamat itu pada antara muka sebelum terowong naik, halakan pemilih kepada apa yang sudah wujud, dan atur rakan serta laluan di sekelilingnya.

Tiada apa yang dirundingkan dalam reka bentuk itu, jadi tiada apa yang boleh diperuntukkan semula, dan itulah tukar ganti: determinisme sebagai ganti melakukan kerja pengalamatan sendiri. Ia mekanisme yang berbeza, bukan varian vips, sebab itu kedua-duanya tidak patut dicampur dalam satu sambungan. Pemilih yang dipakukan di sebelah alamat yang dirundingkan ialah sambungan yang berfungsi sehingga gateway mengagihkan sesuatu yang lain.

Sahkan apa yang sebenarnya diperuntukkan oleh penjawab

Baca senarai SA untuk alamat yang diberikan oleh gateway, kemudian sahkan bahawa alamat itu wujud pada antara muka. Jika kedua-duanya tidak sepadan, terowong itu naik dan trafik tidak pergi ke tempat yang anda sangka. Alamat yang diberikan tetapi tidak pernah sampai ke antara muka ialah kegagalan paling mengelirukan dalam urutan ini, kerana setiap separuh kelihatan betul sendiri.

Asingkan empat alamat dalam nota anda: alamat dalaman yang diminta, yang diberikan, alamat LAN mesin, dan jalan keluar awam yang dilaporkan oleh sesuatu laman web. Ia tergolong dalam lapisan berbeza dan muncul di tempat berbeza. Panduan yang merekodkan keempat-empatnya ialah panduan yang orang lain boleh ikuti tanpa bertanya alamat mana yang anda maksudkan. Baca semula selepas setiap muat semula, kerana nilai yang diberikan hanyalah satu-satunya yang menerangkan terowong yang hidup.

Asingkan reka bentuk statik

Jika anda memerlukan alamat dalaman tetap, aturkan tempahan pada gateway dan biarkan permintaan klien kekal sebagai permintaan. Mencampurkan pemilih yang dipakukan dengan alamat yang dirundingkan menghasilkan sambungan yang berfungsi sehingga gateway menetapkan sesuatu yang lain. Tuliskan peraturan tempahan di sebelah sambungan, kerana itulah bahagian yang tidak dapat disimpulkan oleh rakan sekerja daripada fail konfigurasi. Kemudian klien baharu mewarisi peraturan itu dan bukannya menemukannya semula.

Pada klien Mac terbina dalam, tiada satu pun nama pilihan ini wujud. Gunakan mana-mana peruntukan atau tempahan yang ditawarkan gateway dan profil yang diterbitkan oleh pengendali, dan anggap sebarang nilai di sisi klien sebagai petunjuk sehingga anda membaca semula peruntukan itu. Pengunduran bermakna membuang baris vips dan memuat semula, yang membawa anda kembali kepada apa yang ditetapkan oleh gateway secara lalai.