strongSwan vips: IKEv2 बाट भर्चुअल ठेगाना माग्ने

vips आन्तरिक IKEv2 ठेगाना माग्छ; गेटवेले के दिने निर्णय गर्छ। अनुरोध मिलाउनुहोस्, लोड गर्नुहोस् र त्यसपछि प्रतिक्रियाकर्ताले वास्तवमा के तोक्यो भनी जाँच्नुहोस्।

तपाईंको IKEv2 क्लाइन्टले गेटवेसँग आन्तरिक ठेगाना माग्न सक्छ, र गेटवेले के फर्काउने निर्णय गर्छ। strongSwan मा त्यो अनुरोध नै vips सेटिङ हो, र त्यसमा ठोस ठेगाना लेख्दा पनि त्यो अनुरोध नै रहन्छ। तलको रनबुकले अनुरोध मिलाउँछ, लोड गर्छ र के फर्केर आयो पढ्छ, किनभने ती तीन चरण तीन फरक तरिकाले असफल हुन्छन्। जोरसँग टाइप गर्दा पनि यीमध्ये कुनै छोटो हुँदैन।

vips के माग्छ, र के वाचा दिन सक्दैन

vips जडान परिभाषाभित्र पर्छ र प्रतिक्रियाकर्तासँग भर्चुअल ठेगाना माग्छ। strongSwan को भर्चुअल-ठेगाना मार्गदर्शिका स्पष्ट भन्छ कि जवाफ अर्को ठेगाना हुन सक्छ, वा केही पनि नहुन सक्छ, र मानिसहरूले मान लेखेर त्यो देखिने अपेक्षा गर्दा ठ्याक्कै त्यही वाक्य छोड्छन्। अनुरोध गर्न अझै लायक छ, किनभने तपाईं जाँच्ने भनेको जवाफ नै हो। सेटिङलाई सोध्ने निर्देशका रूपमा लिनुहोस्, नतिजाको कन्फिगरेसनका रूपमा होइन।

0.0.0.0 माग्नु भनेको उपलब्ध कुनै पनि IPv4 भर्चुअल ठेगाना माग्नु हो, जुन ठ्याक्कै मान महत्त्वपूर्ण नहुँदा सामान्यतया सही हुन्छ। ठोस ठेगाना माग्नु गेटवेका लागि सङ्केत हो, त्यसमाथिको माग होइन।

swanctl टुक्रा र त्यसको ठाउँ

सेटिङ जडान ब्लकभित्र बस्छ, आफ्नै फाइलमा होइन र अपरेटिङ सिस्टम प्रोफाइलमा पनि होइन। यो छुट्याइएको टुक्राले आकार देखाउँछ:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

जडानको स्वामित्व भएको फाइलले यसलाई लोड गर्नुहोस्, त्यसपछि जडान सुरु गर्नुहोस् र नतिजा पढ्नुहोस्। गलत खण्डमा टाँसिएको टुक्राले पार्स त्रुटि दिन्छ वा, त्यसभन्दा नराम्रो, तपाईंले गरेँ भन्ने अनुरोध बिनै लोड हुने जडान दिन्छ। तीनै आदेश क्रममा चलाउनुहोस् र आउटपुट राख्नुहोस्।

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts ट्राफिक छान्छ, ठेगाना बनाउँदैन

local_ts ले चाइल्ड SA ले सुरक्षित गर्ने ट्राफिक समूहको नाम दिन्छ; यसले इन्टरफेसमा ठेगाना राख्दैन। भर्चुअल IP मा वार्ता भएपछि strongSwan ले आफ्नो पूर्वनिर्धारित गतिशील चयनकर्ता प्रयोग गर्न छोड्छ र त्यसको सट्टा दिइएको ठेगाना प्रयोग गर्छ। यदि चयनकर्तालाई शाब्दिक ठेगानामा पिन गर्नुभयो भने, गेटवेले नदिएको हुन सक्ने कुराको दाबी गर्नुहुन्छ, र त्यसैले असफलता कतै नजाने ट्राफिक भएको कार्यरत SA का रूपमा देखिन्छ। चयनकर्ताले ट्राफिक वर्णन गर्छ, जबकि तोकाइ अर्को आदानप्रदानबाट आउँछ।

स्थिर आन्तरिक ठेगाना पाउने अर्को तरिका यसलाई स्थानीय रूपमा राख्नु हो। सुरुङ माथि आउनुअघि ठेगाना इन्टरफेसमा राख्नुहोस्, चयनकर्तालाई पहिले नै भएको कुरातर्फ देखाउनुहोस्, र साथी तथा मार्गलाई त्यसको वरिपरि मिलाउनुहोस्।

त्यो ढाँचामा केही पनि वार्ता हुँदैन, त्यसैले केही पनि पुनः तोक्न सकिँदैन, र यही सौदा हो: ठेगाना दिने काम आफैँ गर्ने बदलामा निश्चितता। यो vips को प्रकार होइन, फरक संयन्त्र हो, त्यसैले दुवैलाई एउटै जडानमा मिसाउनु हुँदैन। वार्ता भएको ठेगानाको छेउमा पिन गरिएको चयनकर्ता त्यस्तो जडान हो जुन गेटवेले अरू केही बाँड्दासम्म काम गर्छ।

प्रतिक्रियाकर्ताले वास्तवमा के तोक्यो भनी जाँच्नुहोस्

गेटवेले दिएको ठेगानाका लागि SA सूची पढ्नुहोस्, त्यसपछि ठेगाना इन्टरफेसमा छ भनी पुष्टि गर्नुहोस्। यदि दुई मिल्दैनन् भने, सुरुङ माथि छ र ट्राफिक तपाईंले सोचेको ठाउँमा जाँदैन। इन्टरफेससम्म कहिल्यै नपुग्ने दिइएको ठेगाना यो क्रमको सबैभन्दा अलमल्याउने असफलता हो, किनभने हरेक आधा अलगै सही देखिन्छ।

तपाईंको टिप्पणीमा चार ठेगाना छुट्टै राख्नुहोस्: मागिएको आन्तरिक ठेगाना, दिइएको ठेगाना, मेसिनको LAN ठेगाना, र कुनै वेबसाइटले जनाउने सार्वजनिक निकास। ती फरक तहका हुन् र फरक ठाउँमा देखिन्छन्। चारै रेकर्ड गर्ने रनबुक त्यस्तो हुन्छ जुन अरू कसैले तपाईंको मतलब कुन ठेगाना थियो भनी नसोधी पछ्याउन सक्छ। हरेक पुनः लोडपछि तिनीहरू फेरि पढ्नुहोस्, किनभने दिइएको मान मात्र जीवित सुरुङको वर्णन गर्ने एकमात्र मान हो।

स्थिर ढाँचा छुट्टै राख्नुहोस्

यदि तपाईंलाई स्थिर आन्तरिक ठेगाना चाहिन्छ भने, गेटवेमा आरक्षण मिलाउनुहोस् र क्लाइन्टको अनुरोधलाई अनुरोध नै रहन दिनुहोस्। पिन गरिएको चयनकर्तालाई वार्ता भएको ठेगानासँग मिसाउँदा गेटवेले अरू केही नतोक्दासम्म काम गर्ने जडान मिल्छ। जडानको छेउमा आरक्षण नियम लेख्नुहोस्, किनभने सहकर्मीले कन्फिग फाइलबाट अनुमान गर्न नसक्ने भाग त्यही हो। त्यसपछि नयाँ क्लाइन्टले नियम फेरि पत्ता लगाउनुको सट्टा उत्तराधिकारमा पाउँछ।

अन्तर्निहित Mac क्लाइन्टमा यी विकल्प नाममध्ये कुनै पनि छैन। गेटवेले दिने जुनसुकै तोकाइ वा आरक्षण र अपरेटरले प्रकाशित गर्ने प्रोफाइल प्रयोग गर्नुहोस्, र तोकाइ फेरि नपढेसम्म क्लाइन्ट-पक्षको कुनै पनि मानलाई सङ्केत मान्नुहोस्। रोलब्याक भनेको vips लाइन हटाएर फेरि लोड गर्नु हो, जसले तपाईंलाई गेटवेले पूर्वनिर्धारित रूपमा तोक्ने अवस्थामा फर्काउँछ।

सम्बन्धित लेखहरू