strongSwan vips: له IKEv2 څخه مجازی پته غوښتل

ستاسو IKEv2 کلاینټ کولی شي له ګیټوی څخه داخلي پته وغواړي، او ګیټوی هوډ کوي چې څه بیرته راولي۔ په strongSwan کې هغه غوښتنه د vips ترتیباتو ده، او په هغې کې د یوې مشخصې پتې لیکلو سره هم غوښتنه پاتې کیږي۔ لاندې لارښود غوښتنه تنظیموي، هغه باروي او څه چې بیرته راغلي لوستل کیږي، ځکه چې دا درې ګامه په درې مختلفو لارو ناکام کیږي۔ له هغو څخه هیڅ یو د سخت لیکلو سره لنډ نه کیږي۔

vips څه غواړي، او څه نشي ژمنې کولی

vips د اړیکې تعریف دننه دی او له ځواب ورکوونکي څخه مجازی پته غواړي۔ د strongSwan د مجازی پتو لارښود په صراحت وايي چې ځواب کیدای شي بله پته وي، یا په بشپړه توګه هیڅ نه، او خلک همدا جمله پریږدي کله چې یو ارزښت ولیکي او تمه لري چې څرګند شي۔ غوښتنه بیا هم د کولو ارزښت لري، ځکه چې تاسو ځواب ته ګورئ۔ ترتیبات د پوښتنې کولو لارښوونې په توګه وګورئ، نه د پایلې د ترتیباتو په توګه۔

د 0.0.0.0 غوښتل د هر شته IPv4 مجازی پتې غوښتنه ده، کله چې دقیق ارزښت مهم نه وي دا معمولاً سم وي۔ د یوې مشخصې پتې غوښتل ګیټوی ته اشاره ده، نه پر هغه غوښتنه۔

swanctl ټوټه او د هغې ځای

ترتیبات د اړیکې بلاک دننه دي، نه په خپل فایل کې او نه په عملیاتي سیسټم پروفایل کې۔ دا جلا شوی ټوټه بڼه ښیي:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

هغه د اړیکې مالک فایل سره بار کړئ، بیا اړیکه پیل کړئ او پایله ولولئ۔ په غلط برخه کې نښلول شوې ټوټه د تحلیل تېروتنه ورکوي یا، له هغې بدتره، داسې اړیکه چې پرته له هغې غوښتنې چې تاسو یې کړې فکر کاوه بار شي۔ درې حکمونه په ترتیب چل کړئ او پایلې وساتئ۔

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts ترافیک ټاکي، پته نه جوړوي

local_ts د هغه ترافیک ټولګه نوموي چې ماشوم SA یې ساتنه کوي؛ دا په انټرفیس کې پته نه ږدي۔ کله چې مجازی IP ورباندې خبرې وشوې، strongSwan خپل اصلي متحرک ټاکونکی نه کاروي او پرځای یې ورکړل شوې پته کاروي۔ که ټاکونکی په لفظي پته وتړئ، تاسو هغه څه ادعا کوئ چې کیدای شي ګیټوی نه وي ورکړی، او له همدې امله ناکامي د فعال SA په توګه ښکاري چې ترافیک یې هېڅ چېرې نه ځي۔ ټاکونکی ترافیک بیانوي، په داسې حال کې چې ټاکل له بله تبادلې راځي۔

د ثابتې داخلي پتې ترلاسه کولو بله لار دا ده چې هغه په محلي ډول ولرو۔ پته د تونل له پورته کېدو دمخه په انټرفیس کېږدئ، ټاکونکی هغه څه ته واستوئ چې مخکې شته، او سیال او لار د هغې شاوخوا تنظیم کړئ۔

په هغه ډیزاین کې هېڅ خبرې نه کیږي، نو هېڅ شی بیا نه شي ټاکل کیدای، او دا هغه معامله ده: ټاکلتیا د پتې کولو کار په خپله کولو بدل کې۔ دا د vips یو ډول نه دی، بل میکانیزم دی، نو دواړه باید په یوه اړیکه کې یوځای نشي۔ د خبرو شوې پتې ترڅنګ تړل شوی ټاکونکی هغه اړیکه ده چې تر هغه پورې کار کوي چې ګیټوی بل څه ووېشي۔

وګورئ چې ځواب ورکوونکي واقعاً څه ټاکلي

د ګیټوی ورکړل شوې پتې لپاره د SA لیست ولولئ، بیا تایید کړئ چې پته په انټرفیس کې شته۔ که دواړه سره سمون نه لري، تونل پورته دی او ترافیک هغه ځای ته نه ځي چې تاسو فکر کوئ۔ ورکړل شوې پته چې هېڅکله انټرفیس ته نه رسیږي، په دې ترتیب کې ترټولو ګډوډوونکې ناکامي ده، ځکه هر نیمګړی په خپله سم ښکاري۔

په خپلو یادښتونو کې څلور پتې جلا وساتئ: غوښتل شوې داخلي پته، ورکړل شوې، د ماشین LAN پته، او هغه عامه وتل چې یوه وېبپاڼه یې راپور ورکوي۔ دوی مختلفو طبقو پورې اړه لري او په مختلفو ځایونو کې ښکاري۔ هغه لارښود چې څلور واړه ثبتوي، هغه دی چې بل څوک پرته له دې چې وپوښتي کومه پته مو مطلب وه، تعقیبولی شي۔ هر ځل بیا بار کولو وروسته یې بیا ولولئ، ځکه ورکړل شوی ارزښت یوازینی دی چې ژوندي تونل بیانوي۔

ثابت ډیزاین جلا وساتئ

که تاسو ثابته داخلي پته ته اړتیا لرئ، پر ګیټوی زیرمه تنظیم کړئ او د کلاینټ غوښتنه غوښتنه پاتې کړئ۔ د تړل شوي ټاکونکي او خبرو شوې پتې یوځای کول داسې اړیکه ورکوي چې تر هغه پورې کار کوي چې ګیټوی بل څه وټاکي۔ د زیرمې قاعده د اړیکې ترڅنګ ولیکئ، ځکه دا هغه برخه ده چې همکار یې له کنفګ فایل څخه نه شي اټکل کولی۔ بیا نوی کلاینټ قاعده په میراث اخلي پرته له دې چې بیرته یې ومومي۔

په جوړ شوي Mac کلاینټ کې د دې انتخاب نومونو څخه هېڅ یو نشته۔ هر هغه ټاکل یا زیرمه چې ګیټوی یې وړاندیز کوي او هغه پروفایل چې آپریټر یې خپروي وکاروئ، او د کلاینټ اړخ هر ارزښت تر هغه پورې اشاره وګڼئ چې ټاکل بیرته ولولئ۔ بیرته اړول د vips کرښې لرې کول او بیا بار کول دي، کوم چې تاسو هغه حالت ته بیرته راولي چې ګیټوی په ډیفالټ ډول ټاکي۔