Plánovanie súkromného prístupu IKEv2 s dvojitým zásobníkom a strongSwan

Tunel s dvojitým zásobníkom nie je jedno rozhodnutie, ale tri, a na každé sa dá odpovedať inak. Cez ktorú rodinu ide vonkajší tunel, ktoré rodiny klient dostáva vnútri a na ktorých rodinách chránené služby skutočne odpovedajú. Návrh, ktorý ich berie ako jednu voľbu, buď nesie IPv6, ktorý nikdy nebol potrebný, alebo prideľuje adresy, ktoré nič nedokáže smerovať späť. Oddeľte tie tri a zvyšok konfigurácie sa stane takmer mechanickým.

Tri druhy adries, rozhodnuté oddelene

Vonkajšia adresa je to, ako sa obe brány navzájom dosiahnu, a môže byť IPv4, zatiaľ čo vnútorná prevádzka nesie obe rodiny. Vnútorná virtuálna adresa je identita klienta vnútri tunela, a každá rodina potrebuje vlastný fond. Chránené prefixy sú to, čo klient môže dosiahnuť, a patria službám, nie tunelu. Zámena tretieho s druhým spôsobuje väčšinu chýb v plánovaní, pretože oboje vyzerá ako súkromný rozsah.

Vonkajší transport len cez IPv4 s vnútornou prevádzkou dvojitého zásobníka je bežné a dobre podporované usporiadanie.

Rozhodnite každé výslovne a rozhodnutia zapíšte. Ak je vonkajšia cesta len IPv4, povedzte to a prestaňte sa starať o dosiahnuteľnosť koncových bodov IPv6. Ak je rodina pridelená vnútri, ale nič na nej neodpovedá, buď ju z plánu odstráňte, alebo tie služby urobte skutočne duálnymi.

Prideľte virtuálnu adresu v každej rodine

V konfigurácii swanctl klient žiada virtuálne adresy a zástupný znak v každej rodine žiada respondéra, aby pridelil jednu z každej. Respondér ich berie z fondov a fondy sú samostatné objekty od sietí za bránou. Držte ich oddelene aj v pláne, pretože fond prekrývajúci prefix služby vytvára smerovanie, ktoré vyzerá správne až do okamihu, keď prevádzka pristane na nechcenom mieste.

Žiadajte obe rodiny, keď potrebujete obe, a jednu, keď nie, pretože nepoužitá adresa je plocha politiky bez úžitku. Konkrétna žiadosť je žiadosť, nie rezervácia, a respondér môže podľa vlastnej politiky vrátiť inú hodnotu. Ten detail je dôležitý všade, kde je adresa natvrdo zapísaná v pravidle firewallu alebo v kontrole monitorovania. Odkazujte na fondy menom v spojení a držte siete služieb mimo nich.

vips = 0.0.0.0, ::

Vytvorte si vlastný jedinečný lokálny prefix pre fond IPv6 namiesto prevzatia krátkej ukážkovej hodnoty. Ukážka ukazuje tvar nastavenia, nie predvolenú hodnotu na prevzatie.

Opíšte ciele oddelene od fondov

Selektory prevádzky opisujú, čo každá strana očakáva, že si vymení, takže lokálne selektory brány majú menovať chránené prefixy služieb, a nie klientske fondy. Vzdialené selektory klienta tento zámer zrkadlia. Keď oba zoznamy opisujú rôzne objekty, tunel môže nabehnúť a napriek tomu nenesie nič užitočné.

Tie isté prefixy potrebujú spätné trasy a povolené preposielanie vnútri siete brány, pre každú rodinu, ktorú zapnete.

Tu prestáva byť súkromný plán IPv6 dostačujúci. Jedinečné lokálne adresovanie kupuje súkromnú dosiahnuteľnosť a nevytvára verejný výstup IPv6, takže návrh, ktorý predpokladá, že nečíslovaná rodina jednoducho pôjde podľa pravidiel maskovania IPv4, sklame svojich používateľov. Ak je verejný prístup k IPv6 súčasťou požiadavky, potrebuje smerovaný plán a upstream, ktorý s ním súhlasí. Inak jasne povedzte, že strana IPv6 je len súkromná, čo je čestná hranica, a nie obmedzenie, ktoré treba skrývať.

Urobte DNS a spätné cesty zámernými

Preklad mien nenasleduje transport. Prekladač môže vrátiť záznamy A a AAAA cez tunel len s IPv4 a klient potom skúsi rodinu, ktorú ste nikdy neplánovali. Rozhodnite, ktoré mená služieb majú niesť použiteľné odpovede dvojitého zásobníka, a obe tie cesty urobte zámernými. Meno, ktoré sa preloží na rodinu bez funkčnej cesty, vytvára zaseknutie, a nie čistú chybu, a zaseknutia sa diagnostikujú oveľa ťažšie.

Zdokumentujte dosiahnuteľnosť vonkajšieho koncového bodu zvlášť, vrátane toho, či je v hre nejaké prechádzanie NAT a ktorú rodinu používa.

Potom napíšte plán v šiestich riadkoch: vonkajší koncový bod, fond IPv4, fond IPv6, prefix služby IPv4, prefix služby IPv6 a smerovač, ktorý vlastní odpovede pre každý z nich. Plán v tomto tvare odpovedá na otázky, ktoré operátor skutočne kladie o tretej ráno. Čokoľvek kratšie necháva duálny zásobník ako druhú adresu priskrutkovanú k politike len IPv4, a tak to zvyčajne skončí napoly funkčné.