Načrtovanje zasebnega dostopa IKEv2 z dvojnim skladom in strongSwan

Predor z dvojnim skladom ni ena odločitev, ampak tri, in nanje je mogoče odgovoriti različno. Po kateri družini teče zunanji predor, katere družine odjemalec prejme znotraj in na katerih družinah zaščitene storitve dejansko odgovarjajo. Zasnova, ki jih obravnava kot eno izbiro, bodisi nosi IPv6, ki nikoli ni bil potreben, bodisi dodeljuje naslove, ki jih nič ne more usmeriti nazaj. Ločite te tri in preostala konfiguracija postane skoraj mehanska.

Tri vrste naslovov, odločene ločeno

Zunanji naslov je, kako se oba prehoda dosežeta, in je lahko IPv4, medtem ko notranji promet nosi obe družini. Notranji navidezni naslov je identiteta odjemalca znotraj predora, in vsaka družina potrebuje svoj bazen. Zaščiteni prefiksi so tisto, kar odjemalec lahko doseže, in pripadajo storitvam, ne predoru. Zamenjava tretjega z drugim povzroča večino napak pri načrtovanju, ker oba izgledata kot zasebni razponi.

Zunanji transport samo prek IPv4 z notranjim prometom dvojnega sklada je običajna in dobro podprta ureditev.

Odločite se za vsako izrecno in odločitve zapišite. Če je zunanja pot samo IPv4, povejte to in prenehajte skrbeti za dosegljivost končnih točk IPv6. Če je družina dodeljena znotraj, a nič na njej ne odgovarja, jo odstranite iz načrta ali pa te storitve naredite resnično dvojnega sklada.

Dodelite navidezni naslov v vsaki družini

V konfiguraciji swanctl odjemalec zahteva navidezne naslove in nadomestni znak v vsaki družini prosi odgovarjalca, da dodeli enega iz vsake. Odgovarjalec jih jemlje iz bazenov, bazeni pa so ločeni objekti od omrežij za prehodom. Držite jih ločene tudi v načrtu, ker bazen, ki se prekriva s prefiksom storitve, ustvari usmerjanje, ki izgleda pravilno do trenutka, ko promet pristane na neželenem mestu.

Zahtevajte obe družini, ko potrebujete obe, in eno, ko je ne potrebujete, ker neuporabljen naslov je površina politike brez koristi. Konkretna zahteva je zahteva, ne rezervacija, in odgovarjalec lahko po svoji politiki vrne drugo vrednost. Ta podrobnost je pomembna povsod, kjer je naslov trdo zapisan v pravilu požarnega zidu ali v preverjanju nadzora. Sklicujte se na bazene po imenu v povezavi in držite omrežja storitev zunaj njih.

vips = 0.0.0.0, ::

Ustvarite svoj edinstveni lokalni prefiks za bazen IPv6, namesto da prevzamete kratko vzorčno vrednost. Primer prikazuje obliko nastavitve, ne privzete vrednosti za dedovanje.

Opišite cilje ločeno od bazenov

Izbirniki prometa opisujejo, kaj vsaka stran pričakuje, da bo izmenjala, zato morajo lokalni izbirniki prehoda poimenovati zaščitene prefikse storitev in ne odjemalskih bazenov. Oddaljeni izbirniki odjemalca odražajo to namero. Ko oba seznama opisujeta različne objekte, se predor lahko dvigne in vseeno ne nosi nič koristnega.

Ti isti prefiksi potrebujejo povratne poti in dovoljeno posredovanje znotraj omrežja prehoda, za vsako družino, ki jo omogočite.

Tu zasebni načrt IPv6 preneha zadoščati. Edinstveno lokalno naslavljanje kupi zasebno dosegljivost in ne ustvari javnega izhoda IPv6, zato bo zasnova, ki predpostavlja, da bo neoštevilčena družina preprosto sledila pravilom maskiranja IPv4, razočarala svoje uporabnike. Če je javni dostop do IPv6 del zahteve, potrebuje usmerjen načrt in vzvodni tok, ki se z njim strinja. Sicer jasno povejte, da je stran IPv6 samo zasebna, kar je poštena meja in ne omejitev, ki jo je treba skriti.

Naredite DNS in povratne poti namerne

Razreševanje imen ne sledi transportu. Razreševalnik lahko vrne zapise A in AAAA skozi predor samo z IPv4, odjemalec pa bo nato poskusil družino, ki je niste nikoli načrtovali. Odločite, katera imena storitev naj nosijo uporabne odgovore dvojnega sklada, in obe poti naredite namerne. Ime, ki se razreši v družino brez delujoče poti, povzroči zastoj in ne čisto napako, zastoje pa je veliko težje diagnosticirati.

Dokumentirajte dosegljivost zunanje končne točke ločeno, vključno s tem, ali je v igri kakšen prehod NAT in katero družino uporablja.

Nato zapišite načrt v šestih vrsticah: zunanja končna točka, bazen IPv4, bazen IPv6, prefiks storitve IPv4, prefiks storitve IPv6 in usmerjevalnik, ki ima odgovore za vsakega. Načrt v tej obliki odgovarja na vprašanja, ki jih operater resnično postavi ob treh zjutraj. Karkoli krajšega pusti dvojni sklad kot drugi naslov privit na politiko samo IPv4, in tako se običajno konča napol delujoče.