strongSwan vips: å be IKEv2 om ei virtuell adresse

IKEv2-klienten din kan be gatewayen om ei intern adresse, og gatewayen avgjer kva han sender tilbake. I strongSwan er den førespurnaden innstillinga vips, og ho vert verande ein førespurnad sjølv når du skriv ei bestemd adresse inn i ho. Runboka nedanfor konfigurerer førespurnaden, lastar han inn og les kva som kom tilbake, fordi dei tre stega feilar på tre ulike måtar. Ingen av dei vert kortare av å skrive hardare.

Kva vips ber om, og kva det ikkje kan love

vips høyrer heime i ein tilkoplingsdefinisjon og ber svararen om ei virtuell adresse. strongSwan-veiledninga om virtuelle adresser er tydeleg på at svaret kan vere ei anna adresse, eller ingenting i det heile, og det er setninga folk hoppar over når dei skriv ein verdi og ventar at han skal dukke opp. Førespurnaden er likevel verd å sende, fordi det er svaret du kontrollerer. Behandle innstillinga som ei instruks om å spørje, ikkje som konfigurasjon av resultatet.

Å be om 0.0.0.0 ber om kva som helst ledig virtuell IPv4-adresse, noko som vanlegvis er rett når den nøyaktige verdien ikkje spelar noko rolle. Å be om ei bestemd adresse er eit hint til gatewayen, ikkje eit krav til han.

swanctl-utdraget og kvar det høyrer til

Innstillinga sit inne i tilkoplingsblokka, ikkje i si eiga fil og ikkje i ein operativsystemprofil. Dette isolerte utdraget viser forma:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Last han inn med fila som eig tilkoplinga, start deretter tilkoplinga og les resultatet. Eit utdrag som vert lima inn i feil avsnitt gjev ein parsefeil eller, verre, ei tilkopling som vert lasta utan førespurnaden du trudde du hadde laga. Køyr dei tre kommandoane i rekkefølgje og ta vare på utdata.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts vel trafikk, det lagar ikkje ei adresse

local_ts namngjev settet med trafikk som det underordna SA-et vernar; det set ikkje ei adresse på eit grensesnitt. Når ein virtuell IP er forhandla, sluttar strongSwan å bruke standard dynamisk veljar og brukar i staden den tildelte adressa. Låser du veljaren til ei bokstaveleg adresse, hevdar du noko gatewayen kanskje ikkje har tildelt, og difor viser feilen seg som eit fungerande SA med trafikk som ikkje fører nokon stad. Veljaren skildrar trafikk, medan tildelinga kjem frå den andre utvekslinga.

Den andre måten å få ei stabil intern adresse på er å eige ho lokalt. Set adressa på eit grensesnitt før tunnelen kjem opp, peik veljaren mot det som alt finst, og ordne motparten og ruta rundt det.

Ingenting vert forhandla i det designet, så ingenting kan tildelast på nytt, og det er bytet: determinisme mot å gjere adresseringsarbeidet sjølv. Det er ein annan mekanisme, ikkje ein variant av vips, og difor bør dei to ikkje blandast i éi tilkopling. Ein låst veljar ved sida av ei forhandla adresse er ei tilkopling som verkar til gatewayen deler ut noko anna.

Kontroller kva svararen faktisk tildelte

Les SA-lista for adressa gatewayen tildelte, og stadfest deretter at adressa finst på grensesnittet. Viss dei to ikkje stemmer, er tunnelen oppe, og trafikken går ikkje dit du trur. Ei tildelt adresse som aldri når grensesnittet, er den mest forvirrande feilen i denne sekvensen, fordi kvar halvdel ser rett ut åleine.

Hald fire adresser skilde i notata dine: den førespurde interne adressa, den tildelte, LAN-adressa til maskinen og den offentlege utgangen som eit nettstad rapporterer. Dei høyrer til ulike lag og dukkar opp på ulike stader. Ei runbok som registrerer alle fire, er ei som nokon andre kan følgje utan å spørje kva adresse du meinte. Les dei på nytt etter kvar innlasting, fordi den tildelte verdien er den einaste som skildrar den levande tunnelen.

Hald det statiske designet skilt

Viss du treng ei fast intern adresse, ordne reservasjonen på gatewayen og lat førespurnaden til klienten vere ein førespurnad. Vert ein låst veljar blanda med ei forhandla adresse, får du ei tilkopling som verkar til gatewayen tildeler noko anna. Skriv ned reservasjonsregelen ved sida av tilkoplinga, fordi det er delen ein kollega ikkje kan utleie frå konfigurasjonsfila. Då arvar ein ny klient regelen i staden for å gjenoppdage han.

På den innebygde Mac-klienten finst ingen av desse innstillingsnamna. Bruk tildelinga eller reservasjonen gatewayen tilbyr, og profilen operatøren publiserer, og behandle kvar verdi på klientsida som eit hint til du har lese tildelinga tilbake. Tilbakerulling er å fjerne vips-linja og laste inn på nytt, noko som bringar deg tilbake til det gatewayen tildeler som standard.