strongSwan vips: kako od IKEv2 zahtevati navidezni naslov

vips zahteva notranji naslov IKEv2; prehod odloči, kaj bo dodelil. Nastavite zahtevo, jo naložite in nato preverite, kaj je odzivnik dejansko dodelil.

Vaš odjemalec IKEv2 lahko od prehoda zahteva notranji naslov, prehod pa odloči, kaj bo vrnil. V strongSwanu je ta zahteva nastavitev vips in ostane zahteva tudi takrat, ko vanjo vpišete določen naslov. Spodnji vodnik nastavi zahtevo, jo naloži in prebere, kaj se je vrnilo, ker ti trije koraki spodletijo na tri različne načine. Nobeden od njih se ne skrajša z močnejšim tipkanjem.

Kaj vips zahteva in česa ne more obljubiti

vips spada v definicijo povezave in od odzivnika zahteva navidezni naslov. Vodnik strongSwan po navideznih naslovih izrecno pravi, da je odgovor lahko drug naslov ali pa nič, in prav ta stavek ljudje preskočijo, ko vpišejo vrednost in pričakujejo, da se bo pojavila. Zahteva je vseeno vredna truda, ker preverjate prav odgovor. Nastavitev obravnavajte kot navodilo, da vprašate, ne kot konfiguracijo izida.

Zahteva za 0.0.0.0 zahteva kateri koli razpoložljivi navidezni naslov IPv4, kar je običajno pravilno, ko natančna vrednost ni pomembna. Zahteva za določen naslov je namig prehodu, ne zahteva nanj.

Odlomek swanctl in kam sodi

Nastavitev stoji znotraj bloka povezave, ne v lastni datoteki in ne v profilu operacijskega sistema. Ta izolirani odlomek prikazuje obliko:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Naložite jo z datoteko, ki ima povezavo, nato zaženite povezavo in preberite rezultat. Odlomek, prilepljen v napačni razdelek, povzroči napako pri razčlenjevanju ali, še huje, povezavo, ki se naloži brez zahteve, za katero ste mislili, da ste jo poslali. Zaženite tri ukaze po vrsti in shranite izpis.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts izbira promet, ne ustvarja naslova

local_ts poimenuje množico prometa, ki jo varuje podrejeni SA; naslova na vmesnik ne postavi. Ko je navidezni IP dogovorjen, strongSwan preneha uporabljati privzeti dinamični izbirnik in namesto tega uporabi dodeljeni naslov. Če izbirnik pripnete na dobesedni naslov, trdite nekaj, česar prehod morda ni dodelil, zato se napaka pokaže kot delujoč SA s prometom, ki ne gre nikamor. Izbirnik opisuje promet, medtem ko dodelitev prihaja iz druge izmenjave.

Drugi način, da dobite stabilen notranji naslov, je, da ga imate lokalno. Postavite naslov na vmesnik, preden se tunel dvigne, usmerite izbirnik na to, kar že obstaja, in partnerja ter pot uredite okoli tega.

V taki zasnovi se nič ne dogovarja, zato ničesar ni mogoče prerazporediti, in to je menjava: determinizem za to, da naslavljanje opravite sami. To je drug mehanizem, ne različica vips, zato ju ne smete mešati v eni povezavi. Pripet izbirnik ob dogovorjenem naslovu je povezava, ki deluje, dokler prehod ne dodeli česa drugega.

Preverite, kaj je odzivnik dejansko dodelil

Preberite seznam SA in poiščite naslov, ki ga je prehod dodelil, nato potrdite, da naslov obstaja na vmesniku. Če se dva ne ujemata, tunel stoji, promet pa ne gre tja, kamor mislite. Dodeljeni naslov, ki nikoli ne doseže vmesnika, je najbolj zmedljiva napaka v tem zaporedju, ker vsaka polovica sama po sebi izgleda pravilna.

V zapiskih imejte štiri naslove ločeno: zahtevani notranji naslov, dodeljenega, naslov LAN naprave in javni izhod, ki ga poroča neko spletišče. Pripadajo različnim plastem in se pojavljajo na različnih mestih. Vodnik, ki zabeleži vse štiri, je tak, da mu lahko nekdo drug sledi, ne da bi vprašal, kateri naslov ste mislili. Po vsakem ponovnem nalaganju jih znova preberite, ker je dodeljena vrednost edina, ki opisuje živi tunel.

Statično zasnovo imejte ločeno

Če potrebujete fiksen notranji naslov, uredite rezervacijo na prehodu in zahtevo odjemalca pustite kot zahtevo. Mešanje pripetega izbirnika z dogovorjenim naslovom da povezavo, ki deluje, dokler prehod ne dodeli česa drugega. Pravilo rezervacije zapišite ob povezavi, ker je to del, ki ga sodelavec ne more sklepati iz konfiguracijske datoteke. Takrat nov odjemalec pravilo podeduje, namesto da bi ga znova odkril.

V vgrajenem odjemalcu Mac nobeno od teh imen možnosti ne obstaja. Uporabite kakršno koli dodelitev ali rezervacijo, ki jo ponuja prehod, in profil, ki ga objavi operater, vsako vrednost na strani odjemalca pa obravnavajte kot namig, dokler dodelitve ne preberete nazaj. Razveljavitev pomeni odstraniti vrstico vips in znova naložiti, kar vas vrne k temu, kar prehod dodeli privzeto.

Sorodni članki