Planifikimi i aksesit privat IKEv2 me dy shtresa me strongSwan

Një tunel me dy shtresa nuk është një vendim por tre, dhe mund t'u përgjigjesh ndryshe. Nëpër cilën familje kalon tuneli i jashtëm, cilat familje merr klienti brenda dhe në cilat familje përgjigjen vërtet shërbimet e mbrojtura. Një dizajn që i trajton si një zgjedhje të vetme ose mbart IPv6 që nuk u desh kurrë, ose shpërndan adresa që asgjë nuk mund t'i ridrejtojë mbrapsht. Ndani të tre dhe pjesa tjetër e konfigurimit bëhet pothuajse mekanike.

Tre lloje adresash, të vendosura veçmas

Adresa e jashtme është se si dy portat arrijnë njëra-tjetrën, dhe mund të jetë IPv4 ndërsa trafiku i brendshëm mbart të dyja familjet. Adresa virtuale e brendshme është identiteti i klientit brenda tunelit, dhe secila familje ka nevojë për grupin e vet. Prefikset e mbrojtura janë ajo që klienti mund të arrijë, dhe u përkasin shërbimeve, jo tunelit. Ngatërrimi i të tretës me të dytën shkakton shumicën e gabimeve të planifikimit, sepse të dyja duken si diapazone private.

Transport i jashtëm vetëm me IPv4 dhe trafik i brendshëm me dy shtresa është një rregullim normal dhe i mbështetur mirë.

Vendosni secilin në mënyrë eksplicite dhe shkruani vendimet. Nëse rruga e jashtme është vetëm IPv4, thojeni dhe ndaloni së shqetësuari për arritshmërinë e pikave fundore IPv6. Nëse një familje caktohet brenda por asgjë nuk përgjigjet në të, ose hiqeni nga plani ose bëni ato shërbime vërtet me dy shtresa.

Caktoni një adresë virtuale në secilën familje

Në një konfigurim swanctl klienti kërkon adresa virtuale, dhe një karakter i egër në secilën familje i kërkon përgjigjësit të caktojë një nga secila. Përgjigjësi i merr ato nga grupet, dhe grupet janë objekte të veçanta nga rrjetet pas portës. Mbani ato të ndara edhe në plan, sepse një grup që mbivendoset me një prefiks shërbimi prodhon rrugëtim që duket i saktë deri në momentin kur trafiku zbarkon në një vend të padëshiruar.

Kërkoni të dyja familjet kur ju duhen të dyja, dhe një kur nuk ju duhet, sepse një adresë e papërdorur është sipërfaqe politike pa përfitim. Një kërkesë specifike është kërkesë dhe jo rezervim, dhe përgjigjësi mund të kthejë një vlerë tjetër sipas politikës së vet. Ai detaj ka rëndësi kudo ku një adresë është koduar fort në një rregull muri zjarri ose në një kontroll monitorimi. Referojuni grupeve me emër në lidhje dhe mbani rrjetet e shërbimeve jashtë tyre.

vips = 0.0.0.0, ::

Gjeneroni prefiksin tuaj unik lokal për grupin IPv6 në vend që të miratoni një vlerë shembull të shkurtër. Shembulli tregon formën e cilësimit, jo një vlerë të paracaktuar për t'u trashëguar.

Përshkruani destinacionet ndaras nga grupet

Përzgjedhësit e trafikut përshkruajnë atë që secila palë pret të shkëmbejë, kështu që përzgjedhësit lokalë të portës duhet të emërtojnë prefikset e shërbimeve të mbrojtura dhe jo grupet e klientëve. Përzgjedhësit e largët të klientit pasqyrojnë atë qëllim. Kur dy listat përshkruajnë objekte të ndryshme, tuneli mund të ngrihet dhe përsëri të mos mbajë asgjë të dobishme.

Të njëjtat prefikse kanë nevojë për rrugë kthimi dhe përcjellje të lejuar brenda rrjetit të portës, për secilën familje që aktivizoni.

Këtu një plan privat IPv6 pushon së mjaftuari. Adresimi unik lokal blen arritshmëri private dhe nuk krijon dalje publike IPv6, kështu që një dizajn që supozon se familja pa numra thjesht do të ndjekë rregullat e maskimit IPv4 do t'i zhgënjejë përdoruesit e saj. Nëse aksesi publik IPv6 është pjesë e kërkesës, ai ka nevojë për një plan të rrugëtuar dhe një rrjedhë sipër që pajtohet me të. Përndryshe thoni qartë se ana IPv6 është vetëm private, që është një kufi i ndershëm dhe jo një kufizim për t'u fshehur.

Bëni DNS-në dhe rrugët e kthimit të qëllimshme

Zgjidhja e emrave nuk ndjek transportin. Një zgjidhës mund të kthejë regjistrime A dhe AAAA përmes një tuneli vetëm IPv4, dhe klienti do të provojë atëherë një familje që nuk e keni planifikuar kurrë. Vendosni cilat emra shërbimesh duhet të mbajnë përgjigje të përdorshme me dy shtresa dhe bëni të dyja këto rrugë të qëllimshme. Një emër që zgjidhet në një familje pa rrugë funksionale prodhon një ngecje dhe jo një gabim të pastër, dhe ngecjet janë shumë më të vështira për t'u diagnostikuar.

Dokumentoni arritshmërinë e pikës fundore të jashtme veçmas, duke përfshirë nëse është në lojë ndonjë kalim NAT dhe cilën familje përdor.

Pastaj shkruani planin në gjashtë rreshta: pikë fundore e jashtme, grup IPv4, grup IPv6, prefiks shërbimi IPv4, prefiks shërbimi IPv6, dhe ruteri që zotëron përgjigjet për secilin. Një plan në atë formë u përgjigjet pyetjeve që një operator me të vërtetë bën në orën tre të mëngjesit. Çdo gjë më e shkurtër e lë dy-shtresën si një adresë të dytë të vidhosur në një politikë vetëm IPv4, dhe kështu zakonisht përfundon duke punuar gjysmën.