strongSwan vips: titlob indirizz virtwali mingħand IKEv2

vips jitlob indirizz IKEv2 intern; il-gateway jiddeċiedi x’jagħti. Ikkonfigura t-talba, ittella’ u mbagħad ivverifika x’assena verament il-risponditur.

Il-klijent IKEv2 tiegħek jista’ jitlob indirizz intern mill-gateway, u l-gateway jiddeċiedi x’se jibgħat lura. F’strongSwan dik it-talba hija l-issettjar vips, u tibqa’ talba anke meta tikteb indirizz speċifiku fiha. Il-gwida hawn taħt tikkonfigura t-talba, ittella’ u taqra x’ġie lura, għax dawn it-tliet passi jonqsu fi tliet modi differenti. Ħadd minnhom ma jitqassar billi tittajpja aktar bil-qawwa.

X’jitlob vips, u x’ma jistax iwiegħed

vips jappartjeni f’definizzjoni ta’ konnessjoni u jitlob indirizz virtwali mingħand ir-risponditur. Il-gwida ta’ strongSwan dwar l-indirizzi virtwali tgħid b’mod ċar li t-tweġiba tista’ tkun indirizz ieħor, jew xejn, u dik hija s-sentenza li n-nies jaqbżu meta jiktbu valur u jistennew li jidher. It-talba xorta tiswa, għax dak li tivverifika hija t-tweġiba. Ittratta l-issettjar bħala struzzjoni biex tistaqsi, mhux bħala konfigurazzjoni tar-riżultat.

Li titlob 0.0.0.0 ifisser li titlob kwalunkwe indirizz virtwali IPv4 disponibbli, li normalment ikun tajjeb meta l-valur eżatt ma jimpurtax. Li titlob indirizz speċifiku huwa ħjiel lill-gateway, mhux talba fuqu.

Il-framment swanctl u fejn jappartjeni

L-issettjar jinsab ġewwa l-blokk tal-konnessjoni, mhux fil-fajl tiegħu stess u lanqas fil-profil tas-sistema operattiva. Dan il-framment iżolat juri l-forma:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Ittellgħu bil-fajl li jippossjedi l-konnessjoni, imbagħad ibda l-konnessjoni u aqra r-riżultat. Framment imwaħħal fit-taqsima ħażina jipproduċi żball ta’ analiżi jew, agħar, konnessjoni li titgħabba mingħajr it-talba li ħsibt li għamilt. Mexxi t-tliet kmandi f’daqqiet u żomm l-output.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts jagħżel traffiku, ma joħloqx indirizz

local_ts isemmi s-sett ta’ traffiku li jipproteġi l-SA tifel; ma jqiegħedx indirizz fuq interface. Ladarba jiġi nnegozjat IP virtwali, strongSwan jieqaf juża s-selettur dinamiku tiegħu b’mod awtomatiku u minflok juża l-indirizz mogħti. Jekk twaħħal is-selettur ma’ indirizz litterali, tkun qed tafferma xi ħaġa li l-gateway forsi ma tahx, u għalhekk il-falliment jidher bħala SA li taħdem b’traffiku li ma jmur imkien. Is-selettur jiddeskrivi t-traffiku, filwaqt li l-assenjazzjoni tiġi mill-iskambju l-ieħor.

Il-mod l-ieħor kif tikseb indirizz intern stabbli huwa li jkollok fil-lokal. Qiegħed l-indirizz fuq interface qabel ma jogħla t-tunnel, dawwar is-selettur lejn dak li diġà jeżisti, u rranġa l-peer u r-rotta madwaru.

F’dak id-disinn xejn ma jiġi nnegozjat, allura xejn ma jista’ jiġi assenjat mill-ġdid, u dan huwa l-bdil: determinizmu bi tpattija għal li tagħmel ix-xogħol tal-indirizzar int stess. Dan huwa mekkaniżmu differenti, mhux varjant ta’ vips, u għalhekk it-tnejn m’għandhomx jitħalltu fi konnessjoni waħda. Selettur imwaħħal ħdejn indirizz innegozjat huwa konnessjoni li taħdem sakemm il-gateway iqassam xi ħaġa oħra.

Ivverifika x’assena verament il-risponditur

Aqra l-lista tal-SA għall-indirizz li ta l-gateway, imbagħad ikkonferma li l-indirizz jeżisti fuq l-interface. Jekk it-tnejn ma jaqblux, it-tunnel huwa ’l fuq u t-traffiku mhux sejjer fejn taħseb. Indirizz mogħti li qatt ma jasal għall-interface huwa l-aktar falliment konfuż f’din is-sekwenza, għax kull nofs jidher korrett waħdu.

Żomm erba’ indirizzi separati fin-noti tiegħek: l-indirizz intern mitlub, dak mogħti, l-indirizz LAN tal-magna, u l-ħruġ pubbliku li jirrapporta xi sit web. Jappartjenu għal saffi differenti u jidhru f’postijiet differenti. Gwida li tirreġistra l-erbgħa kollha hija waħda li xi ħadd ieħor jista’ jsegwi mingħajr ma jistaqsi liema indirizz kont qed tfisser. Aqrahom mill-ġdid wara kull tagħbija mill-ġdid, għax il-valur mogħti huwa l-uniku wieħed li jiddeskrivi t-tunnel ħaj.

Żomm id-disinn statiku separat

Jekk għandek bżonn indirizz intern fiss, irranġa r-riżerva fuq il-gateway u ħalli t-talba tal-klijent tibqa’ talba. It-taħlit ta’ selettur imwaħħal ma’ indirizz innegozjat jagħti konnessjoni li taħdem sakemm il-gateway jassenja xi ħaġa oħra. Ikteb ir-regola tar-riżerva ħdejn il-konnessjoni, għax dik hija l-parti li kollega ma jistax jiddeduċiha mill-fajl tal-konfigurazzjoni. Imbagħad klijent ġdid jiret ir-regola minflok ma jiskopriha mill-ġdid.

Fil-klijent Mac inkorporat ebda wieħed minn dawn l-ismijiet tal-għażliet ma jeżisti. Uża kwalunkwe assenjazzjoni jew riżerva li joffri l-gateway u l-profil li jippubblika l-operatur, u ttratta kwalunkwe valur fuq in-naħa tal-klijent bħala ħjiel sakemm tkun qrajt l-assenjazzjoni mill-ġdid. Ir-rollback huwa li tneħħi l-linja vips u terġa’ tgħabbi, li jġibek lura għal dak li l-gateway jassenja b’mod awtomatiku.

Artikli relatati