دوه‌ډوله VPN حوضونه: په strongSwan کې دواړه کورنۍ ته خطاب

یو ګیټ‌وې کولای شي یو مسافر کاروونکي ته هم IPv4 او هم IPv6 مجازي پته ورکړي، په داسې حال کې چې بهرنی ټنل لا هم د IPv4 له لارې ځي. دا خپلواکې پرېکړې دي، او دوی د یوې په توګه ګڼل هغه ځای دی چې دوه‌ډوله پلانونه معمولاً هلته نسکورېږي. د کورنۍ داخلي کورنۍ، هغه خوندي پری فیکسونه چې کولای شي ورته ورسېږي، او هغه ترانسپورت چې انکپسولیشن لېږدوي درې جلا انتخابونه دي.

ډېری ګډوډي له دې ځایه راځي چې د دوه‌ډوله کلمه داسې ډیزاین ته کارول کېږي چې یوازې په یو ځای کې دوه‌ډوله دی. خدمت کولای شي له داخله دوه‌ډوله وي، په خپله بهرنۍ پته کې یوډوله، او بیا هم د کاروونکو لپاره په بشپړه توګه ښه کار وکړي. هغه څه چې نه شي کولای، ناڅاپي کار کول دي.

په داخل کې دوه کورنۍ، په بهر کې یوه لاره

بهرنی اړیکه د UDP پر سر IKE ده، او د کاروونکي له هر ځایه چې وي یوې رسېدونکې پتې کورنۍ ته اړتیا لري. داخلي IPv6 پته د IPv6 ملاتړ کوونکي ISP ته اړتیا نه لري، ځکه چې داخلي پیکټ د بهرني پیکټ دننه بار دی. ډېرې کارکوونکې ځای پرځای کېدنې IPv6 پری فیکسونه د یوازې IPv4 لرونکي پورتنۍ لینک له لارې لېږدوي.

هغه څه چې بهرنۍ لاره یې واقعاً محدودوي د رسېدو وړتیا او د NAT تېرېدل دي. که ګیټ‌وې یوازې د IPv4 پته اعلان کړي، په یوازې IPv6 شبکه کې کاروونکی هیڅکله نشي نښلېدلای، هر څومره حوضونه چې تنظیم کړئ. بهرنۍ کورنۍ د خپلو کاروونکو د شمېر له مخې وټاکئ، د داخلي پتې پلان له مخې نه.

په هرې کورنۍ کې کاروونکي ته پته ورکړئ

د دواړو کورنیو غوښتنه د کاروونکي په خوا کې یوه کرښه بیان دی، په دې شرط چې ګیټ‌وې د وېشلو څه ولري. نومول شوي حوضونه سرچینې د خدمت شبکو څخه جلا ساتي، او همدا ځانګړنه ده چې د اورپټې مقررات شپږ میاشتې وروسته هم لوستل کېدونکي کوي.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

د vips ارزښت له هرې کورنۍ یوه پته غواړي، او د حوضونو لیست ټاکي چې هغه پتې له کومه راځي. د strongSwan د مجازي IP اسناد ډېرې غوښتنې او د حوضونو تخصیص پوښي، په شمول دا ټکی چې ځانګړې پته غوښتونکی کاروونکی یوازې یو لومړیتوب څرګندوي چې ځواب ورکوونکی یې کولای شي لغوه کړي. داسې لاسرسي قاعده مه جوړوئ چې فرض کوي کاروونکی تل ورته ارزښت ترلاسه کوي.

د بېلګې کاپي کولو پر ځای خپل ځانګړی سیمه‌ای پری فیکس جوړ کړئ. دوه سازمانونه چې دواړه fd42::/16 یې پلي کړي به په لومړي ځل چې یو له بل سره ونښلېږي ټکر ومومي، او د هغې تشخیص کول خوښ نه دي.

ټاکونکي منزلونه بیانوي، نه سرچینې

د ماشوم SA سیمه‌ای ترافیک ټاکونکي وایي چې د ګیټ‌وې شاته کومې خوندي شبکې دي، او لیرې ټاکونکي بیانوي چې کاروونکی څه کولای شي د سرچینې په توګه وکاروي. د مجازي حوض پته د هغې تګلارې د سرچینې خواته اړه لري؛ په منزلونو لیست کې یې اېښودل د تنظیماتو یوه عامه غلطه لوستنه ده.

دواړه کورنۍ په ګیټ‌وې کې د بېرته راګرځېدو لارو او اجازه‌لرونکي فوروارډینګ ته اړتیا لري. حوض ته د بېرته لارې پرته ټاکونکي ته پری فیکس زیاتول داسې ټنل جوړوي چې رامنځته کېږي، د ترافیک یو لوری تېروي او ځواب په خاموشۍ غورځوي. ټاکونکی تګلاره ده، نه روټینګ.

حوضونه او د خدمت پری فیکسونه د خپل پتې پلان په جلا برخو کې وساتئ. کله چې دوی سره نښلول شوي وي، هغه لاره چې باید خوندي کوربه ته ورسېږي کولای شي د حوض پتې سره سمون وخوري او په ټنل کې ورک شي.

DNS او د ځواب لاره ټاکي چې دا بشپړ ښکاري که نه

د حل کوونکي ځوابونه د هغه ترانسپورت څخه خپلواک دي چې حل کوونکي ته د رسېدو لپاره کارول کېږي. یو نوم کولای شي A ریکارډ، AAAA ریکارډ یا دواړه بېرته راولي، او کاروونکی د خپلو غوراوي مقرراتو له مخې غوره کوي. که یو داخلي خدمت AAAA ریکارډ خپور کړي خو هغه پری فیکس هیڅوک روټ نه کوي، په دوه‌ډوله شبکو کې کاروونکي لومړی د IPv6 لاره هڅه کوي او تر هغه چې ناکامه شي هلته ناست وي. په دې وخت کې د ټنل په تنظیماتو کې هیڅ شی غلط نه ښکاري.

نو د هر نوم لپاره وټاکئ چې کومې کورنۍ باید کارېدونکي وي، بیا وګورئ چې اړوند پری فیکس په ټاکونکي کې دی او د بېرته لاره لري. دا د هر خدمت لپاره جلا پرېکړه ده. د دواړو ډولونو ریکارډونو پرته له توپیر خپرول هغه لاره ده چې یو کارکوونکی یوازې IPv4 خدمت د خپلو نیمو کاروونکو لپاره وخت تېرېدل پیلوي.

د بشپړ بللو مخکې دواړه کورنۍ تایید کړئ

هغه تنظیمات چې بارېږي هغه تنظیمات نه دي چې کار کوي. هغه حالت ولولئ چې ډیمون یې راپور ورکوي، د حوضونو تخصیصونه تایید کړئ، بیا هغه لارې وګورئ چې کاروونکي واقعاً نصب کړې دي.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

لومړنې دوه کمانډونه رامنځته شوي ماشوم SA او دا ښيي چې په کومو حوضونو کې لا پتې شته، نو هغه پلان چې د لومړي کاروونکي لپاره کار کوي او په لسم کې ناکامېږي ښکاره کېږي. وروستي دوه ښيي چې کاروونکي د حوض څخه نړیواله IPv6 پته ترلاسه کړه که نه او خوندي پری فیکس ته ترافیک واقعاً چېرته ځي. تخصیص شوې پته د هغه حوض سره پرتله کړئ چې تاسو تنظیم کړی، نه د هغې پتې سره چې تاسو یې هیله درلوده. که ځواب ورکوونکي د خپلې تګلارې له مخې بله ارزښت غوره کړی وي، لارې او د اورپټې مقررات باید لا هم د هغه له انتخاب سره سمون ولري.

بیا د هرې کورنۍ لپاره یو خوندي کوربه، او هغه نوم چې دواړو ته حل کېږي ازموئ. د یوې کورنۍ ازموینه تاسو ته د هغې نیمې پلان په اړه هیڅ نه وایي چې تمرین یې نه دی کړی، او ورکه لاره معمولاً هماغه نیمه کې وي.