strongSwan vips: kërkesa për një adresë virtuale nga IKEv2

vips kërkon një adresë IKEv2 të brendshme; porta vendos çfarë jep. Konfiguroni kërkesën, ngarkojeni dhe më pas verifikoni çfarë ka caktuar vërtet përgjigjësi.

Klienti juaj IKEv2 mund t'i kërkojë portës një adresë të brendshme, dhe porta vendos çfarë do të kthejë. Në strongSwan kjo kërkesë është cilësimi vips, dhe mbetet kërkesë edhe kur shkruani në të një adresë të caktuar. Udhëzuesi më poshtë konfiguron kërkesën, e ngarkon dhe lexon çfarë u kthye, sepse këto tre hapa dështojnë në tre mënyra të ndryshme. Asnjëri prej tyre nuk shkurtohet duke shtypur më fort.

Çfarë kërkon vips dhe çfarë nuk mund të premtojë

vips i përket një përkufizimi lidhjeje dhe i kërkon përgjigjësit një adresë virtuale. Udhëzuesi i strongSwan për adresat virtuale është i qartë se përgjigjja mund të jetë një adresë tjetër, ose aspak asgjë, dhe pikërisht këtë fjali njerëzit e anashkalojnë kur shkruajnë një vlerë dhe presin që ajo të shfaqet. Kërkesa ende ia vlen, sepse ajo që verifikoni është përgjigjja. Trajtojeni cilësimin si një udhëzim për të pyetur, jo si konfigurimin e rezultatit.

Kërkimi i 0.0.0.0 kërkon çdo adresë virtuale IPv4 të disponueshme, gjë që zakonisht është e saktë kur vlera e saktë nuk ka rëndësi. Kërkimi i një adrese të caktuar është një sugjerim për portën, jo një kërkesë ndaj saj.

Fragmenti swanctl dhe ku bën pjesë

Cilësimi ndodhet brenda bllokut të lidhjes, jo në skedarin e vet dhe jo në një profil të sistemit operativ. Ky fragment i izoluar tregon formën:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Ngarkojeni me skedarin që zotëron lidhjen, më pas nisni lidhjen dhe lexoni rezultatin. Një fragment i ngjitur në seksionin e gabuar prodhon një gabim analize ose, më keq, një lidhje që ngarkohet pa kërkesën që menduat se kishit bërë. Ekzekutoni tre komandat me radhë dhe ruani daljen.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts zgjedh trafikun, nuk krijon adresë

local_ts emërton grupin e trafikut që mbron SA fëmijë; nuk vendos një adresë në një ndërfaqe. Pasi një IP virtuale negociohet, strongSwan ndalon përdorimin e përzgjedhësit të tij dinamik të parazgjedhur dhe përdor në vend të tij adresën e dhënë. Nëse e lidhni përzgjedhësin me një adresë fjalë për fjalë, po pohoni diçka që porta mund të mos e ketë dhënë, dhe për këtë arsye dështimi shfaqet si një SA që funksionon me trafik që nuk shkon askund. Përzgjedhësi përshkruan trafikun, ndërsa caktimi vjen nga shkëmbimi tjetër.

Mënyra tjetër për të marrë një adresë të brendshme të qëndrueshme është ta zotëroni atë lokalisht. Vendoseni adresën në një ndërfaqe përpara se tuneli të ngrihet, drejtojeni përzgjedhësin nga ajo që ekziston tashmë dhe rregulloni partnerin e rrugën rreth saj.

Në atë model asgjë nuk negociohet, kështu që asgjë nuk mund të ricaktohet, dhe ky është shkëmbimi: determinizëm në vend të kryerjes vetë të punës së adresimit. Është një mekanizëm tjetër, jo një variant i vips, prandaj të dy nuk duhet të përzihen në një lidhje. Një përzgjedhës i fiksuar pranë një adrese të negociuar është një lidhje që funksionon derisa porta të japë diçka tjetër.

Verifikoni çfarë ka caktuar vërtet përgjigjësi

Lexoni listën e SA për adresën që dha porta, më pas konfirmoni se adresa ekziston në ndërfaqe. Nëse të dyja nuk përputhen, tuneli është lart dhe trafiku nuk shkon atje ku mendoni. Një adresë e dhënë që nuk arrin kurrë në ndërfaqe është dështimi më konfuz në këtë sekuencë, sepse çdo gjysmë duket e saktë më vete.

Mbani katër adresa veçmas në shënimet tuaja: adresën e brendshme të kërkuar, atë të dhënë, adresën LAN të makinës dhe daljen publike që raporton një faqe interneti. Ato i përkasin shtresave të ndryshme dhe shfaqen në vende të ndryshme. Një udhëzues që regjistron të katërtat është një që dikush tjetër mund ta ndjekë pa pyetur se cilën adresë kishit fjalën. Rilexoni ato pas çdo ringarkimi, sepse vlera e dhënë është e vetmja që përshkruan tunelin e gjallë.

Mbajeni modelin statik veçmas

Nëse ju duhet një adresë e brendshme fikse, rregulloni rezervimin në portë dhe lini kërkesën e klientit të mbetet kërkesë. Përzierja e një përzgjedhësi të fiksuar me një adresë të negociuar jep një lidhje që funksionon derisa porta të caktojë diçka tjetër. Shkruani rregullin e rezervimit pranë lidhjes, sepse është pjesa që një koleg nuk mund ta nxjerrë nga skedari i konfigurimit. Atëherë një klient i ri e trashëgon rregullin në vend që ta rizbulojë.

Në klientin Mac të integruar asnjë nga këta emra opsionesh nuk ekziston. Përdorni çdo caktim ose rezervim që ofron porta dhe profilin që publikon operatori, dhe trajtojeni çdo vlerë në anën e klientit si sugjerim derisa të keni rilexuar caktimin. Kthimi prapa nënkupton heqjen e rreshtit vips dhe ringarkimin, gjë që ju kthen te ajo që porta cakton si parazgjedhje.

Artikuj të ngjashëm