strongSwan vips: å be IKEv2 om en virtuell adresse

IKEv2-klienten din kan be gatewayen om en intern adresse, og gatewayen bestemmer hva den sender tilbake. I strongSwan er den forespørselen innstillingen vips, og den forblir en forespørsel selv når du skriver en bestemt adresse inn i den. Runboken nedenfor konfigurerer forespørselen, laster den inn og leser hva som kom tilbake, fordi de tre trinnene feiler på tre forskjellige måter. Ingen av dem blir kortere av å skrive hardere.

Hva vips ber om, og hva det ikke kan love

vips hører hjemme i en tilkoblingsdefinisjon og ber svareren om en virtuell adresse. strongSwans veiledning om virtuelle adresser er tydelig på at svaret kan være en annen adresse, eller ingenting i det hele tatt, og det er setningen folk hopper over når de skriver en verdi og forventer at den skal dukke opp. Forespørselen er likevel verdt å sende, fordi det er svaret du kontrollerer. Behandle innstillingen som en instruks om å spørre, ikke som konfigurasjon av resultatet.

Å be om 0.0.0.0 ber om en hvilken som helst ledig virtuell IPv4-adresse, noe som vanligvis er riktig når den nøyaktige verdien ikke betyr noe. Å be om en bestemt adresse er et hint til gatewayen, ikke et krav til den.

swanctl-utdraget og hvor det hører til

Innstillingen sitter inne i tilkoblingsblokken, ikke i sin egen fil og ikke i en operativsystemprofil. Dette isolerte utdraget viser formen:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Last den inn med filen som eier tilkoblingen, start deretter tilkoblingen og les resultatet. Et utdrag som limes inn i feil avsnitt gir en parsefeil eller, verre, en tilkobling som lastes uten forespørselen du trodde du hadde laget. Kjør de tre kommandoene i rekkefølge og ta vare på utdataene.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts velger trafikk, det lager ikke en adresse

local_ts navngir settet med trafikk som underordnet SA beskytter; det setter ikke en adresse på et grensesnitt. Når en virtuell IP er forhandlet, slutter strongSwan å bruke standard dynamisk velger og bruker i stedet den tildelte adressen. Låser du velgeren til en bokstavelig adresse, hevder du noe gatewayen kanskje ikke har tildelt, og derfor viser feilen seg som en fungerende SA med trafikk som ikke fører noe sted. Velgeren beskriver trafikk, mens tildelingen kommer fra den andre utvekslingen.

Den andre måten å få en stabil intern adresse på er å eie den lokalt. Sett adressen på et grensesnitt før tunnelen kommer opp, pek velgeren mot det som allerede finnes, og ordne motparten og ruten rundt det.

Ingenting forhandles i det designet, så ingenting kan tildeles på nytt, og det er byttet: determinisme mot å gjøre adresseringsarbeidet selv. Det er en annen mekanisme, ikke en variant av vips, og derfor bør de to ikke blandes i én tilkobling. En låst velger ved siden av en forhandlet adresse er en tilkobling som virker til gatewayen deler ut noe annet.

Kontroller hva svareren faktisk tildelte

Les SA-listen for adressen gatewayen tildelte, og bekreft deretter at adressen finnes på grensesnittet. Hvis de to ikke stemmer, er tunnelen oppe, og trafikken går ikke dit du tror. En tildelt adresse som aldri når grensesnittet, er den mest forvirrende feilen i denne sekvensen, fordi hver halvdel ser riktig ut alene.

Hold fire adresser atskilt i notatene dine: den forespurte interne adressen, den tildelte, maskinens LAN-adresse og den offentlige utgangen som et nettsted rapporterer. De tilhører forskjellige lag og dukker opp på forskjellige steder. En runbok som registrerer alle fire, er en som noen andre kan følge uten å spørre hvilken adresse du mente. Les dem på nytt etter hver innlasting, fordi den tildelte verdien er den eneste som beskriver den levende tunnelen.

Hold det statiske designet atskilt

Hvis du trenger en fast intern adresse, ordne reservasjonen på gatewayen og la klientens forespørsel være en forespørsel. Blir en låst velger blandet med en forhandlet adresse, får du en tilkobling som virker til gatewayen tildeler noe annet. Skriv ned reservasjonsregelen ved siden av tilkoblingen, fordi det er delen en kollega ikke kan utlede fra konfigurasjonsfilen. Da arver en ny klient regelen i stedet for å gjenoppdage den.

På den innebygde Mac-klienten finnes ingen av disse innstillingsnavnene. Bruk den tildelingen eller reservasjonen gatewayen tilbyr, og profilen operatøren publiserer, og behandle enhver verdi på klientsiden som et hint til du har lest tildelingen tilbake. Tilbakerulling er å fjerne vips-linjen og laste inn på nytt, noe som bringer deg tilbake til det gatewayen tildeler som standard.