Pool VPN dual-stack: indirizza ż-żewġ familji fi strongSwan

Pool IPv4 u IPv6 interni, prefissi protetti u l-familja tat-tunnel ta’ barra huma tliet deċiżjonijiet separati. Ippjana kull waħda qabel ma sejħilha dual stack.

Gateway jista’ jagħti lill-utent li jivvjaġġa kemm indirizz virtwali IPv4 kif ukoll IPv6, filwaqt li t-tunnel ta’ barra għadu jgħaddi minn fuq IPv4. Dawk huma deċiżjonijiet indipendenti, u t-trattament tagħhom bħala waħda huwa l-post fejn il-pjanijiet dual-stack normalment ifallu. Il-familji interni tal-klijent, il-prefissi protetti li jista’ jilħaq, u t-trasport li jġorr l-inkapsulament huma tliet għażliet separati.

Ħafna mill-konfużjoni ġejja mill-użu tal-kelma dual stack fuq disinn li huwa dual stack f’post wieħed biss. Servizz jista’ jkun dual stack minn ġewwa, single stack fuq l-indirizz ta’ barra tiegħu, u xorta jaħdem perfettament għall-klijenti. Dak li ma jistax jagħmel huwa jaħdem b’kumbinazzjoni.

Żewġ familji ġewwa, triq waħda barra

Il-konnessjoni ta’ barra hija IKE fuq UDP, u teħtieġ familja waħda ta’ indirizzi li tista’ tintlaħaq minn fejn ikun il-klijent. Indirizz IPv6 intern ma jeħtieġx fornitur bl-IPv6, għax il-pakkett intern huwa l-merkanzija ġewwa dak ta’ barra. Ħafna installazzjonijiet li jaħdmu jġorru prefissi IPv6 minn uplink li għandu biss IPv4.

Dak li l-mogħdija ta’ barra tassew tillimita huwa l-aċċessibbiltà u l-qsim tan-NAT. Jekk il-gateway jħabbar biss indirizz IPv4, klijent fuq netwerk li għandu biss IPv6 ma jistax jikkonnettja xejn, ikunu xi jkunu l-pools li kkonfigurajt. Iddeċiedi l-familja ta’ barra skont il-popolazzjoni tal-klijenti tiegħek, mhux skont il-pjan tal-indirizzi intern.

Agħti lill-klijent indirizz f’kull familja

Li titlob iż-żewġ familji hija linja waħda fuq in-naħa tal-klijent, sakemm il-gateway ikollu xi jaqsam. Il-pools bl-isem iżommu s-sorsi separati min-netwerks tas-servizz, u din hija l-proprjetà li tagħmel ir-regoli tal-firewall jinqraw sitt xhur wara.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Il-valur vips jitlob indirizz minn kull familja, u l-lista tal-pools tiddeċiedi minn fejn ġejjin dawk l-indirizzi. Id-dokumentazzjoni ta’ strongSwan dwar l-IP virtwali tkopri talbiet multipli u l-assenjazzjoni tal-pools, inkluż il-punt li klijent li jitlob indirizz speċifiku qed jesprimi biss preferenza li l-responder jista’ jwarrab. M’għandekx tibni regola ta’ aċċess li tassumi li l-klijent dejjem jirċievi l-istess valur.

Iġġenera l-prefiss lokali uniku tiegħek stess minflok ma tikkopja l-eżempju. Żewġ organizzazzjonijiet li t-tnejn fd42::/16 jimplimentawh se jsibu l-kolliżjoni l-ewwel darba li jikkonnettjaw ma’ xulxin, u d-dijanjosi ta’ dan mhix pjaċevoli.

Is-seletturi jiddeskrivu d-destinazzjonijiet, mhux is-sorsi

Is-seletturi tat-traffiku lokali tas-SA tifel jgħidu liema netwerks protetti jinsabu wara l-gateway, u s-seletturi remoti jiddeskrivu x’jista’ juża l-klijent bħala sors. Indirizz ta’ pool virtwali jappartjeni għan-naħa tas-sors ta’ dik il-politika; li tqiegħdu fil-lista tad-destinazzjonijiet hija qari żbaljat komuni tal-konfigurazzjoni.

Iż-żewġ familji jeħtieġu rotot ta’ ritorn u forwarding permess fuq il-gateway. Iż-żieda ta’ prefiss ma’ selettur mingħajr rotta lura lejn il-pool tipproduċi tunnel li jistabbilixxi ruħu, jgħaddi direzzjoni waħda ta’ traffiku u jwarrab it-tweġiba bil-kwiet. Is-selettur huwa politika, mhux routing.

Żomm il-pools u l-prefissi tas-servizz fi blokki separati tal-pjan tal-indirizzi tiegħek. Meta jikkoinċidu, rotta li suppost tilħaq host protett tista’ taqbel ma’ indirizz ta’ pool u tisparixxi fit-tunnel.

DNS u l-mogħdija tat-tweġiba jiddependu jekk jidhirx lest

It-tweġibiet tar-resolver huma indipendenti mit-trasport użat biex jintlaħaq ir-resolver. Isem jista’ jirritorna rekord A, rekord AAAA jew it-tnejn, u l-klijent jagħżel skont ir-regoli ta’ preferenza tiegħu stess. Jekk servizz intern jippubblika rekord AAAA iżda xejn ma jimmappa dak il-prefiss, il-klijenti fuq netwerks dual-stack se jippruvaw l-ewwel il-mogħdija IPv6 u jibqgħu hemm sakemm tfalli. Xejn fil-konfigurazzjoni tat-tunnel ma jidher żbaljat waqt li dan jiġri.

Għalhekk iddeċiedi għal kull isem liema familji għandhom ikunu użabbli, imbagħad iċċekkja li l-prefiss korrispondenti jinsab fis-selettur u għandu rotta ta’ ritorn. Din hija deċiżjoni servizz b’servizz. Il-pubblikazzjoni tal-żewġ tipi ta’ rekords mingħajr distinzjoni hija l-mod kif servizz li jaħdem biss bl-IPv4 jibda jiskadi għal nofs l-utenti tiegħu.

Ivverifika ż-żewġ familji qabel ma tgħid li huwa lest

Konfigurazzjoni li tgħabbi mhix konfigurazzjoni li taħdem. Aqra l-istat li jirrapporta d-daemon, ikkonferma l-assenjazzjonijiet tal-pools, imbagħad ħares lejn ir-rotot li l-klijent fil-fatt installa.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

L-ewwel żewġ kmandi juru s-SA tat-tfal stabbiliti u liema pools għad għandhom indirizzi disponibbli, sabiex pjan li jaħdem għall-ewwel klijent u jfalli għall-għaxar isir viżibbli. L-aħħar tnejn juru jekk il-klijent irċeviex indirizz IPv6 globali mill-pool u fejn it-traffiku lejn prefiss protett fil-fatt imur. Qabbel l-indirizz assenjat mal-pool li kkonfigurajt, mhux mal-indirizz li kont tittama għalih. Jekk ir-responder għażel valur differenti taħt il-politika tiegħu, ir-rotot u r-regoli tal-firewall xorta jridu jaqblu ma’ dak li għażel.

Imbagħad ipprova host protett wieħed għal kull familja, u pprova isem li jsolvi għaż-żewġ. Test ta’ familja waħda ma jgħidlek xejn dwar in-nofs tal-pjan li ma eżerċitajtx, u dak in-nofs normalment ikun fejn tinsab ir-rotta nieqsa.

Artikli relatati