Ippjanar ta’ aċċess privat IKEv2 b’żewġ saffi ma’ strongSwan

Tunnel b’żewġ saffi mhuwiex deċiżjoni waħda imma tlieta, u jistgħu jiġu mwieġba b’mod differenti. Liema familja jgħaddi minnha t-tunnel ta’ barra, liema familji jirċievi l-klijent ġewwa, u liema familji tabilħaqq iwieġbu s-servizzi protetti. Disinn li jqishom għażla waħda jew iġorr IPv6 li qatt ma kien meħtieġ, jew iqassam indirizzi li xejn ma jista’ jżid jirrutahom lura. Issepara t-tlieta u l-bqija tal-konfigurazzjoni ssir kważi mekkanika.

Tliet tipi ta’ indirizz, deċiżi separatament

L-indirizz ta’ barra huwa kif iż-żewġ gateways jaslu għal xulxin, u jista’ jkun IPv4 filwaqt li t-traffiku ta’ ġewwa jġorr iż-żewġ familji. L-indirizz virtwali ta’ ġewwa huwa l-identità tal-klijent ġewwa t-tunnel, u kull familja teħtieġ il-ġabra tagħha. Il-prefissi protetti huma dak li l-klijent jista’ jasal għalih, u jappartjenu lis-servizzi u mhux lit-tunnel. Li tħawwad it-tielet mat-tieni jikkawża l-biċċa l-kbira tal-iżbalji tal-ippjanar, għax it-tnejn jidhru bħal firxiet privati.

Trasport ta’ barra biss IPv4 ma’ traffiku ta’ ġewwa b’żewġ saffi huwa arranġament normali u appoġġat tajjeb.

Iddeċiedi kull waħda b’mod espliċitu u ikteb id-deċiżjonijiet. Jekk it-triq ta’ barra hija biss IPv4, għid hekk u waqaf tinkwieta dwar l-aċċessibbiltà tal-punti tat-tarf IPv6. Jekk familja tiġi assenjata ġewwa imma xejn ma jwieġeb fuqha, jew neħħiha mill-pjan jew agħmel dawk is-servizzi verament b’żewġ saffi.

Assenja indirizz virtwali f’kull familja

F’konfigurazzjoni swanctl il-klijent jitlob indirizzi virtwali, u wildcard f’kull familja jitlob lir-risponditur jassenja waħda minn kull waħda. Ir-risponditur jiġborhom mill-ġabriet, u l-ġabriet huma oġġetti separati min-netwerks wara l-gateway. Żommhom separati fil-pjan ukoll, għax ġabra li tikkoinċidi ma’ prefiss ta’ servizz tipproduċi routing li jidher korrett sa mument meta t-traffiku jinżel f’post mhux intenzjonat.

Itlob iż-żewġ familji meta għandek bżonn it-tnejn, u waħda meta ma għandekx, għax indirizz mhux użat huwa wiċċ ta’ politika mingħajr benefiċċju. Talba speċifika hija talba u mhux riserva, u r-risponditur jista’ jirritorna valur differenti taħt il-politika tiegħu. Dak id-dettall huwa importanti kull fejn indirizz huwa kkodifikat b’mod iebes f’regola tal-firewall jew f’verifika ta’ monitoraġġ. Irreferi għall-ġabriet bl-isem fil-konnessjoni u żomm in-netwerks tas-servizzi barra minnhom.

vips = 0.0.0.0, ::

Iġġenera l-prefiss lokali uniku tiegħek għall-ġabra IPv6 minflok ma tadotta valur eżempju qasir. L-eżempju juri l-forma tas-setting, mhux valur awtomatiku li għandu jiġi wirt.

Iddeskrivi d-destinazzjonijiet separat mill-ġabriet

Is-seletturi tat-traffiku jiddeskrivu dak li kull naħa tistenna li tibdel, għalhekk is-seletturi lokali tal-gateway għandhom isemmu prefissi ta’ servizzi protetti u mhux ġabriet tal-klijenti. Is-seletturi remoti tal-klijent jirriflettu dak l-għan. Meta ż-żewġ listi jiddeskrivu oġġetti differenti, it-tunnel jista’ jitla’ u xorta ma jġorr xejn utli.

Dawk l-istess prefissi jeħtieġu rotot tar-ritorn u trażmissjoni permessa ġewwa n-netwerk tal-gateway, għal kull familja li tattiva.

Hawnhekk pjan privat IPv6 jieqaf ikun biżżejjed. L-indirizzar lokali uniku jixtri aċċessibbiltà privata u ma joħloqx ħruġ IPv6 pubbliku, għalhekk disinn li jassumi li l-familja bla numri sempliċement issegwi r-regoli tal-maskerar IPv4 se jiddiżapponta lill-utenti tiegħu. Jekk l-aċċess pubbliku IPv6 huwa parti mir-rekwiżit, jeħtieġ pjan rrutat u upstream li jaqbel miegħu. Inkella għid b’mod ċar li n-naħa IPv6 hija privata biss, li hija fruntiera onesta u mhux limitazzjoni li għandha tinħeba.

Agħmel id-DNS u l-mogħdijiet tar-ritorn intenzjonati

Ir-riżoluzzjoni tal-ismijiet ma ssegwix it-trasport. Riżolutur jista’ jirritorna rekords A u AAAA permezz ta’ tunnel biss IPv4, u l-klijent imbagħad jipprova familja li qatt ma ppjanajt. Iddeċiedi liema ismijiet ta’ servizz għandhom iġorru tweġibiet b’żewġ saffi użabbli u agħmel dawn iż-żewġ mogħdijiet intenzjonati. Isem li jiġi riżolt għal familja mingħajr mogħdija funzjonanti jipproduċi waqfien u mhux żball nadif, u l-waqfien huwa ħafna aktar diffiċli biex jiġi djanjostikat.

Iddokumenta l-aċċessibbiltà tal-punt tat-tarf ta’ barra separatament, inkluż jekk hijiex involuta xi traversata NAT u liema familja tuża.

Imbagħad ikteb il-pjan f’sitt linji: punt tat-tarf ta’ barra, ġabra IPv4, ġabra IPv6, prefiss ta’ servizz IPv4, prefiss ta’ servizz IPv6, u r-router li jippossjedi t-tweġibiet għal kull wieħed. Pjan f’dik il-forma jwieġeb il-mistoqsijiet li operatur verament jistaqsi fit-tlieta ta’ filgħodu. Xi ħaġa iqsar tħalli ż-żewġ saffi bħala t-tieni indirizz imsammar ma’ politika biss IPv4, u hekk normalment jispiċċa jaħdem nofsu.