Barkada VPN ee laba-stack: labada qoys cinwaan u yeelashada strongSwan

Gelitaan waxa uu siin karaa isticmaale socdaalaya cinwaan macmal ah oo IPv4 iyo IPv6 labadaba ah, halka tunnel-ka dibadda uu weli marayo IPv4. Kuwani waa go'aamo madax banaan, oo in loo qaato mid kaliya waa halka qorshayaasha laba-stack ay inta badan ku burburaan. Qoysaska gudaha ee macmiilka, prefix-yada la ilaaliyay ee uu gaari karo, iyo gaadiidka qaada encapsulation-ka waa saddex doorasho oo kala duwan.

Qaladka badan wuxuu ka yimaadaa codsiga ereyga laba-stack oo lagu dabaqo naqshad kaliya hal meel ku ah laba-stack. Adeeggu wuxuu noqon karaa laba-stack gudaha, hal-stack cinwaankiisa dibadda, oo weli si fiican ugu shaqeeyo macaamiisha. Waxa uusan samayn karin waa inuu si shil ah u shaqeeyo.

Laba qoys gudaha, hal waddo dibadda

Xidhiidhka dibadda waa IKE oo UDP kor mara, wuxuuna u baahan yahay hal qoys cinwaan oo la gaari karo meesha uu macmiilku joogo. Cinwaanka gudaha ee IPv6 uma baahna bixiye taageera IPv6, sababtoo ah baakadda gudaha waa culayska gudaha baakadda dibadda. Isticmaal-bixinno badan oo shaqeeya ayaa IPv6 prefix-yada ku qaata xidhiidh sarreeya oo IPv4 kaliya leh.

Waxa waddada dibadda runtii xaddidaa waa gaaritaannimo iyo gudbid NAT. Haddii gelitaanku ku dhawaaqo kaliya cinwaan IPv4, macmiil ku jira shabakad IPv6 kaliya ma xidhiidhi karo haba yaraatee, dhaqan kasta oo barkado ah oo aad habayso. Go'aanso qoyska dibadda iyadoo lagu saleynayo tirada macaamiishaada, ma aha qorshaha cinwaanka gudaha.

Sii macmiilka cinwaan qoys kasta

Codsiga labada qoys waa hal sadar oo dhinaca macmiilka ah, haddii gelitaanku leeyahay wax uu qaybsado. Barkadaha magaca leh waxay ilaha ka sooca shabakadaha adeegga, waana sifo tan oo u sahlaysa sharciyada dab-damiska in la akhriyo lix bilood ka dib.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Qiimaha vips wuxuu codsadaa cinwaan qoys kasta, liiska barkadaha ayaa go'aamiya halka ay cinwaannadaas ka yimaadaan. Dukumeentiga strongSwan ee ku saabsan IP-da macmalka ah wuxuu daboolaa codsiyo badan iyo qoondaynta barkadaha, oo ay ku jirto tan in macmiilka codsanaya cinwaan gaar ah uu muujinayo kaliya doorbid kaas oo jawaab-bixiyuhu ka noqon karo. Ha dhisin sharci gelis oo u qaata in macmiilku had iyo jeer helo isla qiimahaas.

Abuur prefix-kaaga maxalliga ah ee gaarka ah halkii aad ka koobi lahayd tusaalaha. Laba hay'adood oo labaduba fd42::/16 fuliyaan waxay ogaan doonaan isku-dhacii markii ugu horreysay ee ay isku xidhmaan, oo in taas la baaro maaha wax lagu raaxaysto.

Doorashooyinku waxay sharraxaan goobo, ma aha ilo

Doorashooyinka taraafikada maxalliga ah ee SA-ga carruurtu waxay sheegaan shabakadaha la ilaaliyay ee ka dambeeya gelitaanka, doorashooyinka fogna waxay sharraxaan waxa macmiilku u isticmaali karo il ahaan. Cinwaanka barkadda macmalka ah wuxuu ka tirsan yahay dhinaca ilaha ee siyaasaddaas; in lagu daro liiska goobaha waa akhris khaldan oo caadi ah oo habaynta.

Labada qoys waxay u baahan yihiin waddooyin soo noqosho iyo gudbin la ogolaaday oo ku yaal gelitaanka. Ku darista prefix doorasho iyada oo aan la hayn waddo dib ugu noqota barkadda waxay abuurtaa tunnel la aasaasay, mara hal jiho oo taraafik ah, oo si aamusnaan ah u tuura jawaabta. Doorashadu waa siyaasad, ma aha dariiqa.

Ku hay barkadaha iyo prefix-yada adeegga qaybo kala duwan oo qorshahaaga cinwaanka ah. Marka ay is dulsaaraan, waddo ay tahay in ay gaarto martigeliyaha la ilaaliyay waxay la mid noqon kartaa cinwaanka barkadda oo ku lunto tunnel-ka.

DNS iyo waddada jawaabtu waxay go'aamiyaan haddii ay u muuqato mid dhamaystiran

Jawaabaha xalliyaha waxay ka madax banaan yihiin gaadiidka loo isticmaalo in lagu gaaro xalliyaha. Magac wuxuu soo celin karaa diiwaanka A, diiwaanka AAAA ama labadaba, macmiilkuna wuxuu dooranayaa sida uu qabo sharciyadiisa doorbidka. Haddii adeeg gudaha ah uu daabaco diiwaanka AAAA laakiin aan waxba dariiq u yeelan prefix-kaas, macaamiisha shabakadaha laba-stack waxay marka hore isku dayi doonaan waddada IPv6 oo waxay halkaas fadhiisan doonaan ilaa ay guuldarraysato. Waxba khaldan kama muuqato habaynta tunnel-ka inta taas socota.

Sidaas darteed go'aanso magac kasta qaysaska ay tahay in la isticmaali karo, ka dib hubi in prefix-ka u dhigma uu ku jiro doorashada oo uu leeyahay waddo soo noqosho. Kani waa go'aan adeeg kasta. Daabacaadda labada nooc ee diiwaannada si aan kala sooc lahayn waa sida adeeg ku shaqeeya IPv4 kaliya uu u bilaabo inuu waqti ka dhammaado badhka isticmaalayaashiisa.

Xaqiiji labada qoys ka hor intaadan u yeerin mid dhamaystiran

Habaynta soo rarta maaha habayn shaqaysa. Akhri xaaladda uu daemon-ku soo sheegayo, xaqiiji qoondaynta barkadaha, ka dib eeg waddooyinka uu macmiilku runtii rakibay.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Laba amarrood ee ugu horreeya waxay muujinayaan SA-ga carruurta la aasaasay iyo barkadaha weli leh cinwaanno bannaan, sidaas darteed qorshe u shaqeeya macmiilka koowaad oo ku guuldareysta tobnaadka ayaa muuqda. Labada ugu dambeeya waxay muujinayaan haddii macmiilku ka helay barkadda cinwaan IPv6 caalami ah iyo halka taraafikada u socota prefix la ilaaliyay ay runtii aadi doonto. Isbarbardhig cinwaanka la qoondaystay iyo barkadda aad habaysay, ma aha cinwaanka aad rajaynayay. Haddii jawaab-bixiyuhu sida uu qabo siyaasaddiisa uu doortay qiime kale, waddooyinka iyo sharciyada dab-damiska waa in ay weli u hoggaansamaan wixii uu doortay.

Ka dib tijaabi hal martigeliyaha la ilaaliyay qoys kasta, iyo magac u xalliya labadaba. Tijaabada hal qoys waxba kama sheegto badhka qorshaha aadan tababbaran, oo waddada maqan ayaa inta badan ku jirta badhkaas.