ද්වි-ස්ටැක් VPN තටාක: strongSwan හි දෙපවුලටම ආමන්ත්‍රණය

ගේට්වේ එකකට සංචාරක පරිශීලකයෙකුට IPv4 සහ IPv6 යන දෙකම අතත්‍ය විලාසයේ ලිපිනයක් දිය හැකි අතර, පිටත ටනලය තවමත් IPv4 හරහා ගමන් කරයි. මේවා ස්වාධීන තීරණ වන අතර, ඒවා එකක් ලෙස සැලකීම ද්වි-ස්ටැක් සැලසුම් සාමාන්‍යයෙන් කැඩී යන ස්ථානයයි. සේවාදායකයාගේ අභ්‍යන්තර පවුල්, එයට ළඟා විය හැකි ආරක්ෂිත ප්‍රිෆික්ස්, සහ එන්කැප්සියුලේෂන් ගෙන යන ප්‍රවාහනය යනු තුන් වෙනස් තේරීම් වේ.

බොහෝ ව්‍යාකූලත්වය පැමිණෙන්නේ ද්වි ස්ටැක් යන වචනය එක් තැනක පමණක් ද්වි ස්ටැක් වන නිර්මාණයකට යෙදීමෙනි. සේවාවක් ඇතුළත ද්වි ස්ටැක් විය හැක, එහි පිටත ලිපිනයේ තනි ස්ටැක් විය හැක, එසේ වුවත් සේවාදායකයන්ට හොඳින් ක්‍රියා කළ හැක. එය කළ නොහැකි දෙය වන්නේ අහම්බෙන් ක්‍රියා කිරීමයි.

ඇතුළත පවුල් දෙකක්, පිටත එක් මාර්ගයක්

පිටත සම්බන්ධතාවය UDP මත IKE වන අතර, සේවාදායකයා කොහේ සිටියත් එතැනින් ළඟා විය හැකි එක් ලිපින පවුලක් එයට අවශ්‍යය. අභ්‍යන්තර IPv6 ලිපිනයකට IPv6 සහාය දෙන ISP එකක් අවශ්‍ය නොවේ, මන්ද අභ්‍යන්තර පැකට්ටුව පිටත පැකට්ටුව තුළ ඇති බරය. බොහෝ ක්‍රියාකාරී ක්‍රියාත්මක කිරීම් IPv6 ප්‍රිෆික්ස් එක්-IPv4 උඩු සබැඳියක් හරහා ගෙන යයි.

පිටත මාර්ගය සැබවින්ම සීමා කරන්නේ ළඟා වීමේ හැකියාව සහ NAT තරණයයි. ගේට්වේ එක IPv4 ලිපිනයක් පමණක් නිවේදනය කරන්නේ නම්, එක්-IPv6 ජාලයක සිටින සේවාදායකයාට ඔබ කොපමණ තටාක වින්‍යාස කළත් කිසිසේත් සම්බන්ධ විය නොහැක. පිටත පවුල ඔබේ සේවාදායක ජනගහනය අනුව තීරණය කරන්න, අභ්‍යන්තර ලිපින සැලසුම අනුව නොවේ.

සෑම පවුලකම සේවාදායකයාට ලිපිනයක් දෙන්න

පවුල් දෙකම ඉල්ලීම සේවාදායක පැත්තේ එක් පේළියක ප්‍රකාශයකි, ගේට්වේ බෙදා දීමට යමක් ඇත්නම්. නම් කළ තටාක මූලාශ්‍ර සේවා ජාලවලින් වෙන් කර තබයි, සහ මෙම ගුණාංගය නිසාම මාස හයකට පසුවත් ෆයර්වෝල් නීති කියවිය හැකි වේ.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

මෙම vips අගය සෑම පවුලකින්ම ලිපිනයක් ඉල්ලා සිටින අතර, තටාක ලැයිස්තුව එම ලිපින පැමිණෙන්නේ කොහෙන්ද යන්න තීරණය කරයි.strongSwan හි අතත්‍ය-IP පිළිබඳ ලේඛන බහු ඉල්ලීම් සහ තටාක වෙන් කිරීම ආවරණය කරයි, එයට නිශ්චිත ලිපිනයක් ඉල්ලන සේවාදායකයා ප්‍රතිචාර දෙන්නාට අවලංගු කළ හැකි මනාපයක් පමණක් ප්‍රකාශ කරන බවද ඇතුළත් වේ. සේවාදායකයා සැමවිටම එකම අගය ලබන බව උපකල්පනය කරන ප්‍රවේශ නීතියක් ගොඩනඟන්න එපා.

උදාහරණය පිටපත් කරනවාට වඩා ඔබේම අනන්‍ය දේශීය ප්‍රිෆික්සයක් ජනනය කරන්න. දෙකම fd42::/16 යොදවන සංවිධාන දෙකක් පළමු වරට එකිනෙකට සම්බන්ධ වන විට ගැටීම සොයා ගනු ඇත, එය රෝග විනිශ්චය කිරීම සුවපහසු නොවේ.

තේරීම්කරුවන් ගමනාන්ත විස්තර කරයි, මූලාශ්‍ර නොවේ

දරු SA හි දේශීය රථවාහන තේරීම්කරුවන් ගේට්වේ පිටුපස කුමන ආරක්ෂිත ජාල ඇත්දැයි කියයි, දුරස්ථ තේරීම්කරුවන් සේවාදායකයාට මූලාශ්‍රයක් ලෙස කුමක් භාවිත කළ හැකිදැයි විස්තර කරයි. අතත්‍ය තටාක ලිපිනයක් එම ප්‍රතිපත්තියේ මූලාශ්‍ර පැත්තට අයත් වේ; එය ගමනාන්ත ලැයිස්තුවේ තැබීම වින්‍යාසයේ පොදු වැරදි කියවීමකි.

පවුල් දෙකටම ගේට්වේ මත ආපසු මාර්ග සහ අවසර දුන් යොමු කිරීම අවශ්‍යය. තටාකයට ආපසු මාර්ගයක් නොමැතිව තේරීම්කරුවෙකුට ප්‍රිෆික්සයක් එකතු කිරීම නිසා ස්ථාපිත වන, එක් රථවාහන දිශාවක් පසු කරන සහ පිළිතුර නිශ්ශබ්දව ඉවත් කරන ටනලයක් ඇති වේ. තේරීම්කරු යනු ප්‍රතිපත්තියකි, යොමුකිරීම නොවේ.

තටාක සහ සේවා ප්‍රිෆික්ස් ඔබේ ලිපින සැලසුමේ වෙන වෙනම කොටස්වල තබන්න. ඒවා අතිච්ඡාදනය වන විට, ආරක්ෂිත සත්කාරකයක් වෙත ළඟා විය යුතු මාර්ගයක් තටාක ලිපිනයකට ගැළපී ටනලය තුළ අතුරුදහන් විය හැක.

DNS සහ පිළිතුරු මාර්ගය එය සම්පූර්ණ ලෙස දැනෙන්නේදැයි තීරණය කරයි

විසඳන්නාගේ පිළිතුරු විසඳන්නා වෙත ළඟා වීමට භාවිත කරන ප්‍රවාහනයෙන් ස්වාධීනය. නාමයකට A වාර්තාවක්, AAAA වාර්තාවක් හෝ දෙකම ආපසු දිය හැක, සහ සේවාදායකයා තමන්ගේම මනාප නීති අනුව තෝරා ගනී. අභ්‍යන්තර සේවාවක් AAAA වාර්තාවක් ප්‍රකාශයට පත් කරන්නේ නම් නමුත් එම ප්‍රිෆික්සය කිසිවක් යොමු නොකරන්නේ නම්, ද්වි-ස්ටැක් ජාලවල සේවාදායකයන් මුලින්ම IPv6 මාර්ගය උත්සාහ කර එය අසාර්ථක වන තෙක් එහි රැඳී සිටිති. එසේ සිදුවන අතරතුර ටනල් වින්‍යාසයේ කිසිවක් වැරදි ලෙස නොපෙනේ.

එබැවින් සෑම නාමයකටම කුමන පවුල් භාවිත කළ හැකි විය යුතුද යන්න තීරණය කරන්න, පසුව අදාළ ප්‍රිෆික්සය තේරීම්කරුවා තුළ ඇති බවත් එයට ආපසු මාර්ගයක් ඇති බවත් පරීක්ෂා කරන්න. මෙය සේවාව අනුව ගන්නා තීරණයකි. වාර්තා වර්ග දෙකම වෙන් කිරීමකින් තොරව ප්‍රකාශයට පත් කිරීම නිසාම ක්‍රියාකාරී එක්-IPv4 සේවාවක් එහි අඩක් පරිශීලකයන්ට කාලය ඉකුත් වීම ආරම්භ වේ.

සම්පූර්ණ යැයි කීමට පෙර පවුල් දෙකම සත්‍යාපනය කරන්න

පූරණය වන වින්‍යාසය ක්‍රියා කරන වින්‍යාසය නොවේ. ඩීමන් වාර්තා කරන තත්ත්වය කියවන්න, තටාක වෙන් කිරීම් තහවුරු කරන්න, පසුව සේවාදායකයා සැබවින්ම ස්ථාපනය කළ මාර්ග දෙස බලන්න.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

පළමු විධාන දෙක ස්ථාපිත දරු SA සහ තවමත් ලිපින ඇති තටාක පෙන්වයි, එබැවින් පළමු සේවාදායකයාට ක්‍රියා කර දසවැන්නාට අසාර්ථක වන සැලසුමක් දෘශ්‍යමාන වේ. අවසාන දෙක පෙන්වන්නේ සේවාදායකයාට තටාකයෙන් ගෝලීය IPv6 ලිපිනයක් ලැබුණේද සහ ආරක්ෂිත ප්‍රිෆික්සයකට රථවාහන සැබවින්ම යන්නේ කොහේද යන්නයි. පවරන ලද ලිපිනය ඔබ වින්‍යාස කළ තටාකය සමඟ සසඳන්න, ඔබ බලාපොරොත්තු වූ ලිපිනය සමඟ නොවේ. ප්‍රතිචාර දෙන්නා තම ප්‍රතිපත්තිය යටතේ වෙනත් අගයක් තෝරාගෙන ඇත්නම්, මාර්ග සහ ෆයර්වෝල් නීති තවමත් ඔහුගේ තේරීමට ගැළපිය යුතුය.

පසුව සෑම පවුලකටම ආරක්ෂිත සත්කාරකයක්, සහ දෙකටම විසඳෙන නාමයක් පරීක්ෂා කරන්න. එක් පවුලක පරීක්ෂණයක් ඔබ පුහුණු නොකළ සැලසුමේ අඩක් ගැන කිසිවක් නොකියයි, සහ අතුරුදහන් මාර්ගය සාමාන්‍යයෙන් එහි ඇත.