Planowanie prywatnego dostępu IKEv2 z podwójnym stosem i strongSwanem

Tunel z podwójnym stosem to nie jedna decyzja, lecz trzy, i na każdą można odpowiedzieć inaczej. Przez którą rodzinę biegnie tunel zewnętrzny, które rodziny klient otrzymuje wewnątrz i na których rodzinach chronione usługi faktycznie odpowiadają. Projekt, który traktuje je jako jeden wybór, albo niesie IPv6, którego nigdy nie potrzebował, albo rozdaje adresy, których nic nie potrafi odesłać. Rozdziel te trzy, a reszta konfiguracji staje się prawie mechaniczna.

Trzy rodzaje adresów, rozstrzygnięte osobno

Adres zewnętrzny to sposób, w jaki dwie bramy sięgają się nawzajem, i może być IPv4, podczas gdy ruch wewnętrzny niesie obie rodziny. Wewnętrzny adres wirtualny to tożsamość klienta wewnątrz tunelu, a każda rodzina potrzebuje własnej puli. Chronione prefiksy to to, do czego klient może dotrzeć, i należą do usług, a nie do tunelu. Mylenie trzeciego z drugim powoduje większość błędów planowania, bo oba wyglądają jak zakresy prywatne.

Transport zewnętrzny tylko IPv4 z wewnętrznym ruchem podwójnego stosu to normalne i dobrze obsługiwane rozwiązanie.

Rozstrzygnij każdą wyraźnie i zapisz decyzje. Jeśli ścieżka zewnętrzna jest tylko IPv4, powiedz to i przestań się martwić osiągalnością punktów końcowych IPv6. Jeśli rodzina jest przydzielana wewnątrz, ale nic na niej nie odpowiada, albo usuń ją z planu, albo uczyń te usługi naprawdę podwójnego stosu.

Przydziel adres wirtualny w każdej rodzinie

W konfiguracji swanctl klient prosi o adresy wirtualne, a symbol wieloznaczny w każdej rodzinie prosi odpowiadającego o przydzielenie po jednym z każdej. Odpowiadający czerpie je z pul, a pule są osobnymi obiektami od sieci za bramą. Trzymaj je osobno także w planie, bo pula pokrywająca się z prefiksem usługi daje routing, który wygląda poprawnie aż do chwili, gdy ruch wyląduje w nieoczekiwanym miejscu.

Proś o obie rodziny, gdy potrzebujesz obu, i o jedną, gdy nie, bo nieużywany adres to powierzchnia polityki bez korzyści. Konkretna prośba to prośba, a nie rezerwacja, i odpowiadający może zwrócić inną wartość zgodnie z własną polityką. Ten szczegół ma znaczenie wszędzie, gdzie adres jest wpisany na stałe w regułę zapory lub sprawdzenie monitoringu. Odwołuj się do pul po nazwie w połączeniu i trzymaj sieci usług poza nimi.

vips = 0.0.0.0, ::

Wygeneruj własny unikalny prefiks lokalny dla puli IPv6, zamiast przejmować krótką wartość przykładową. Przykład pokazuje kształt ustawienia, a nie wartość domyślną do odziedziczenia.

Opisz cele osobno od pul

Selektory ruchu opisują, czego każda strona oczekuje w wymianie, więc lokalne selektory bramy powinny nazywać chronione prefiksy usług, a nie pule klientów. Zdalne selektory klienta odzwierciedlają tę intencję. Gdy obie listy opisują różne obiekty, tunel może się podnieść i mimo to nie nieść nic użytecznego.

Te same prefiksy potrzebują tras powrotnych i dozwolonego przekazywania wewnątrz sieci bramy, dla każdej rodziny, którą włączysz.

Tu prywatny plan IPv6 przestaje wystarczać. Unikalna adresacja lokalna kupuje prywatną osiągalność i nie tworzy publicznego wyjścia IPv6, więc projekt zakładający, że nienumerowana rodzina po prostu pójdzie za regułami maskowania IPv4, rozczaruje swoich użytkowników. Jeśli publiczny dostęp do IPv6 jest częścią wymagania, potrzebuje planu z trasowaniem i zgodnego z nim dostawcy wyżej. W przeciwnym razie powiedz wprost, że strona IPv6 jest tylko prywatna, co jest uczciwą granicą, a nie ograniczeniem do ukrycia.

Uczyń DNS i ścieżki powrotne świadomymi

Rozwiązywanie nazw nie podąża za transportem. Resolver może zwrócić rekordy A i AAAA przez tunel tylko IPv4, a klient spróbuje wtedy rodziny, której nigdy nie planowałeś. Zdecyduj, które nazwy usług powinny nieść użyteczne odpowiedzi podwójnego stosu, i uczyń obie te ścieżki świadomymi. Nazwa, która rozwiązuje się do rodziny bez działającej ścieżki, powoduje zawieszenie, a nie czysty błąd, a zawieszenia znacznie trudniej zdiagnozować.

Udokumentuj osiągalność zewnętrznego punktu końcowego osobno, w tym czy w grze jest przechodzenie przez NAT i której rodziny używa.

Następnie zapisz plan w sześciu wierszach: zewnętrzny punkt końcowy, pula IPv4, pula IPv6, prefiks usługi IPv4, prefiks usługi IPv6 oraz router, który posiada odpowiedzi dla każdego. Plan w takim kształcie odpowiada na pytania, które operator naprawdę zadaje o trzeciej nad ranem. Cokolwiek krótszego zostawia podwójny stos jako drugi adres przykręcony do polityki tylko IPv4, i tak zwykle kończy się to połowicznym działaniem.