strongSwan vips: weydiinta cinwaan mala-awaal ah IKEv2

Macaamilkaaga IKEv2 wuxuu gateway-ga weyddiisan karaa cinwaan gudaha ah, gateway-gana wuxuu go'aamiyaa waxa uu soo celinayo. strongSwan dhexdiisa, codsigaas waa dejinta vips, oo weli waa codsi xitaa marka aad ku qorto cinwaan gaar ah. Hagaha hoose wuxuu habaynayaa codsiga, soo rartaa, oo akhriyaa waxa soo noqday, sababtoo ah saddexdaas tallaabooyin saddex siyaabood oo kala duwan ayay ku guuldareystaan. Midkoodna ma gaabnaayo marka si adag loo qoro.

Waxa vips weyddiisto, iyo waxa aanu ballan qaadi karin

vips wuxuu ka tirsan yahay qeexidda xiriirka oo wuxuu jawaab-bixiyaha weyddiisataa cinwaan mala-awaal ah. Hagaha strongSwan ee cinwaannada mala-awaalka ah wuxuu si cad u sheegayaa in jawaabtu noqon karto cinwaan kale, ama waxba, waana jumladaas dadku dhaafaan marka ay qoraan qiime oo ay filayaan inuu soo baxo. Codsigu wali waa qiimo leh, sababtoo ah waxa aad hubinayso waa jawaabta. Dejinta u qaado sidii tilmaan lagu weyddiinayo, ma aha habaynta natiijada.

Weydiinta 0.0.0.0 waxay weyddiisataa cinwaan kasta oo IPv4 mala-awaal ah oo la heli karo, taas oo badanaa sax ah marka qiimaha saxda ah uusan muhiim ahayn. Weydiinta cinwaan gaar ah waa tilmaan loo dirayo gateway-ga, ma aha dalab diraya.

Qaybta swanctl iyo meesha ay ku taal

Dejintu waxay ku dhex jirtaa block-ga xiriirka, ma aha faylkeeda gaar ah iyo profaylka nidaamka hawlgalka midkoodna. Qaybtan go'doonsan waxay muujinaysaa qaabka:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Ku soo rartid faylka leh xiriirka, ka dibna bilaab xiriirka oo akhri natiijada. Qayb lagu dhejiyay qaybta khaldan waxay soo saartaa qalad falanqayn ama, ka sii xun, xiriir soo rarta iyada oo aan lahayn codsigii aad u malaynayay inaad samaysay. Socodsii saddexda amar si taxane ah oo hayso wax soo saarka.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts waxay doorataa taraafikada, cinwaan ma abuurto

local_ts waxay magac u bixisaa kooxda taraafikada ee SA-ga ilmaha ilaaliyo; cinwaan kuma dhigto interface. Marka IP mala-awaal ah la wada hadlo, strongSwan waxay joojisaa isticmaalka doorashadeeda dhaqdhaqaaqa caadiga ah oo waxay isticmaashaa cinwaanka la bixiyay. Haddii aad doorashada ku xanto cinwaan macno leh, waxaad sheeganaysaa wax laga yaabo in gateway-ga uusan bixin, taasina waa sababta guuldarradu ugu muuqato SA shaqeynaya oo taraafikadu meelna u socon. Doorashadu waxay qeexdaa taraafikada, halka qoondayntu ka timaado isweydaarsiga kale.

Habka kale ee lagu helo cinwaan gudaha oo deggan waa in aad guriga ku haysato. Cinwaanka dhig interface ka hor inta uusan tunnel-ku soo kicin, u jeedi doorashada waxa hore u jiray, oo habeey xafiiska iyo waddada hareerihiisa.

Naqshaddaas waxba lagama wada hadlo, sidaas darteed waxba lama qoondayn karo, waana taas beddelka: go'aan qaadasho beddelkeeda inaad adigu qabato shaqada cinwaanaynta. Waa hab kale, ma aha nooc vips ah, sidaas darteed labada waa in aan lagu dhex qasin hal xiriir. Doorasho ku xaniban cinwaan la wada hadlay waa xiriir shaqeeya ilaa gateway-ga uu qaybiyo wax kale.

Hubi waxa jawaab-bixiyaha dhab ahaan qoondeeyay

Akhri liiska SA ee cinwaanka gateway-ga bixiyay, ka dibna xaqiiji in cinwaanku ku jiro interface-ka. Haddii labadoodu aanay isku raacsanayn, tunnel-ku wuu kor yahay oo taraafikadu ma aaddo meesha aad u malaynayso. Cinwaan la bixiyay oo aan waligiis gaarin interface-ka waa guuldarada ugu jahwareerka badan taxanahan, sababtoo ah qayb kastaa keligeed bay sax u muuqataa.

Kala sooc afar cinwaan oo qoraalladaada ku jira: cinwaanka gudaha ee la weyddiistay, kan la bixiyay, cinwaanka LAN ee mishiinka, iyo bixitaanka guud ee ay sheegto mareeg. Waxay ka tirsan yihiin lakabbo kala duwan oo waxay ka muuqdaan meelo kala duwan. Hagaha diiwaangeliya afarta oo dhan waa mid qof kale raaci karo isaga oo aan weyddiin cinwaanka aad ula jeedday. Dib u akhri iyaga ka dib kasta oo dib loo soo rarto, sababtoo ah qiimaha la bixiyay waa kan kaliya ee qeexaya tunnel-ka nool.

Naqshadda taagan gaar u hay

Haddii aad u baahan tahay cinwaan gudaha oo go'an, habee kaydka gateway-ga oo ka tag codsiga macaamilka sidii codsi. Isku darka doorasho ku xaniban iyo cinwaan la wada hadlay waxay bixisaa xiriir shaqeeya ilaa gateway-ga uu qoondeeyo wax kale. Qor sharciga kaydka xiriirka agtiisa, sababtoo ah waa qaybta uu saaxiibkaa ka soo saari karin faylka habaynta. Markaas macaamil cusub wuxuu dhaxlaa sharciga halkii uu dib u ogaan lahaa.

Macaamilka Mac ee lagu dhex daray midkoodna magacyadan doorashooyinka ma jiro. Isticmaal qoondayn ama kayd kasta oo gateway-ga bixiyo iyo profaylka uu hawlwadeenku daabaco, oo qiime kasta oo dhinaca macaamilka ah u qaado tilmaan ilaa aad dib u akhrido qoondaynta. Dib u noqodku waa in la tirtiro sadarka vips oo dib loo soo rarto, taas oo ku celinaysa waxa gateway-ga si caadi ah u qoondeeyo.