strongSwan vips: ako požiadať IKEv2 o virtuálnu adresu

Váš klient IKEv2 môže požiadať bránu o vnútornú adresu a brána rozhoduje, čo vráti. V strongSwane je touto žiadosťou nastavenie vips a zostáva žiadosťou, aj keď doň napíšete konkrétnu adresu. Nasledujúci postup nastaví žiadosť, načíta ju a prečíta, čo sa vrátilo, pretože tieto tri kroky zlyhávajú tromi rôznymi spôsobmi. Ani jeden z nich sa neskráti tým, že budete písať usilovnejšie.

O čo vips žiada a čo nemôže sľúbiť

vips patrí do definície pripojenia a žiada od odpovedajúcej strany virtuálnu adresu. Príručka strongSwan o virtuálnych adresách výslovne uvádza, že odpoveďou môže byť iná adresa alebo vôbec nič, a to je veta, ktorú ľudia preskočia, keď zapíšu hodnotu a očakávajú, že sa objaví. Žiadosť sa napriek tomu oplatí podať, pretože overujete práve odpoveď. Berte nastavenie ako pokyn opýtať sa, nie ako konfiguráciu výsledku.

Žiadosť o 0.0.0.0 znamená požiadavku na akúkoľvek dostupnú virtuálnu adresu IPv4, čo je zvyčajne správne, keď na presnej hodnote nezáleží. Žiadosť o konkrétnu adresu je pre bránu náznak, nie požiadavka na ňu.

Fragment swanctl a kam patrí

Nastavenie sídli vnútri bloku pripojenia, nie vo vlastnom súbore a nie v profile operačného systému. Tento izolovaný fragment ukazuje tvar:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Načítajte ho súborom, ktorý pripojenie vlastní, potom pripojenie spustite a prečítajte výsledok. Fragment vložený do nesprávnej časti vyvolá chybu spracovania alebo, čo je horšie, pripojenie, ktoré sa načíta bez žiadosti, o ktorej ste si mysleli, že ste ju podali. Spustite tri príkazy poporiadku a výstup si ponechajte.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts vyberá prevádzku, adresu nevytvára

local_ts pomenúva množinu prevádzky, ktorú dcérska SA chráni; adresu na rozhranie neumiestňuje. Keď sa virtuálna IP vyjedná, strongSwan prestane používať svoj predvolený dynamický selektor a použije pridelenú adresu. Ak selektor pripnete k doslovnej adrese, tvrdíte niečo, čo brána možno nepridelila, a preto sa porucha prejaví ako funkčná SA s prevádzkou, ktorá nikam nevedie. Selektor opisuje prevádzku, zatiaľ čo pridelenie prichádza z druhej výmeny.

Druhý spôsob, ako získať stabilnú vnútornú adresu, je vlastniť ju lokálne. Umiestnite adresu na rozhranie predtým, než tunel vstane, nasmerujte selektor na to, čo už existuje, a usporiadajte partnera a trasu okolo toho.

V takom návrhu sa nič nevyjednáva, takže nič nemožno prerozdeliť, a to je tá výmena: determinizmus za to, že si adresovanie urobíte sami. Je to iný mechanizmus, nie variant vips, a preto sa oba nemajú miešať v jednom pripojení. Pripnutý selektor vedľa vyjednanej adresy je pripojenie, ktoré funguje, kým brána nepridelí niečo iné.

Overte, čo odpovedajúca strana skutočne priradila

Prečítajte si výpis SA a nájdite adresu, ktorú brána pridelila, potom overte, že adresa na rozhraní existuje. Ak sa obe nezhodujú, tunel stojí a prevádzka nejde tam, kam myslíte. Pridelená adresa, ktorá sa na rozhranie nikdy nedostane, je najviac mätúca porucha v tomto slede, pretože každá polovica vyzerá sama o sebe správne.

Držte si v poznámkach štyri adresy oddelene: požadovanú vnútornú adresu, pridelenú, LAN adresu stroja a verejný výstup, ktorý hlási nejaký web. Patria k rôznym vrstvám a objavujú sa na rôznych miestach. Postup, ktorý zaznamená všetky štyri, je taký, že ho niekto iný môže nasledovať bez toho, aby sa pýtal, ktorú adresu ste mysleli. Po každom znovunačítaní ich znova prečítajte, pretože pridelená hodnota je jediná, ktorá opisuje živý tunel.

Statický návrh držte oddelene

Ak potrebujete pevnú vnútornú adresu, zariaďte rezerváciu na bráne a žiadosť klienta nechajte žiadosťou. Miešanie pripnutého selektora s vyjednanou adresou dáva pripojenie, ktoré funguje, kým brána nepridelí niečo iné. Zapíšte pravidlo rezervácie vedľa pripojenia, pretože to je časť, ktorú kolega z konfiguračného súboru neodvodí. Potom nový klient pravidlo zdedí, namiesto toho, aby ho znova objavoval.

Vo vstavanom klientovi pre Mac žiadny z týchto názvov volieb neexistuje. Použite akékoľvek pridelenie alebo rezerváciu, ktorú brána ponúka, a profil, ktorý zverejní operátor, a akúkoľvek hodnotu na strane klienta berte ako náznak, kým si pridelenie neprečítate späť. Vrátenie späť znamená odstrániť riadok vips a znova načítať, čo vás vráti k tomu, čo brána pridelí predvolene.