Планирање приватног приступа преко двостековног IKEv2 са strongSwan

Двостековни тунел није једна одлука већ три, и на њих се може одговорити различито. Кроз које породице иде спољни тунел, које породице клијент добија унутра и на којим породицама заштићене услуге заиста одговарају. Пројекат који их третира као један избор или носи IPv6 који никада није био потребан, или додељује адресе које ништа не може да усмери назад. Одвојте те три и остатак конфигурације постаје скоро механички.

Три врсте адреса, одвојено одлучено

Спољна адреса је начин на који два гејтвеја стижу један до другог, и може бити IPv4 док унутрашњи саобраћај носи обе породице. Унутрашња виртуелна адреса је идентитет клијента унутар тунела, и свакој породици је потребан сопствени пул. Заштићени префикси су оно до чега клијент може да стигне, и припадају услугама, а не тунелу. Мешање трећег са другим изазива већину грешака у планирању, јер оба изгледају као приватни опсези.

Спољни транспорт само преко IPv4 са унутрашњим саобраћајем двостековног типа је нормалан и добро подржан распоред.

Одлучите о свакој изричито и запишите одлуке. Ако је спољна путања само IPv4, реците то и престаните да бринете о достижности IPv6 крајњих тачака. Ако је породица додељена унутра али ништа на њој не одговара, или је уклоните из плана или те услуге учините заиста двостековним.

Доделите виртуелну адресу у свакој породици

У swanctl конфигурацији клијент тражи виртуелне адресе, а џокер знак у свакој породици тражи од одговарача да додели по једну из сваке. Одговарач их узима из пулова, а пулови су одвојени објекти од мрежа иза гејтвеја. Држите их одвојено и у плану, јер пул који се преклапа са префиксом услуге ствара усмеравање које изгледа исправно све до тренутка када саобраћај слети на нежељено место.

Тражите обе породице када су вам потребне обе, и једну када није, јер неискоришћена адреса је површина политике без користи. Конкретан захтев је захтев, а не резервација, и одговарач може да врати другу вредност према сопственој политици. Тај детаљ је важан свуда где је адреса чврсто уписана у правило заштитног зида или у проверу надзора. Позивајте се на пулове по имену у вези и држите мреже услуга изван њих.

vips = 0.0.0.0, ::

Направите сопствени јединствени локални префикс за пул IPv6 уместо да преузмете кратку примерну вредност. Пример показује облик поставке, а не подразумевану вредност коју треба наследити.

Опишите одредишта одвојено од пулова

Селектори саобраћаја описују шта свака страна очекује да размени, па локални селектори гејтвеја треба да именују заштићене префиксе услуга, а не пулове клијената. Удаљени селектори клијента одражавају ту намеру. Када две листе описују различите објекте, тунел може да се подигне и ипак не носи ништа корисно.

Ти исти префикси захтевају повратне руте и дозвољено прослеђивање унутар мреже гејтвеја, за сваку породицу коју укључите.

Ту приватни план IPv6 престаје да буде довољан. Јединствено локално адресирање купује приватну достижност и не ствара јавни излаз IPv6, па ће пројекат који претпоставља да ће ненумерисана породица једноставно пратити правила маскирања IPv4 разочарати своје кориснике. Ако је јавни приступ IPv6 део захтева, потребан му је усмерен план и узводни ток који се са тим слаже. У супротном јасно реците да је страна IPv6 само приватна, што је поштена граница, а не ограничење које треба крити.

Учините DNS и повратне путеве намерним

Резолуција имена не прати транспорт. Резолвер може да врати записе A и AAAA кроз тунел само са IPv4, и клијент ће тада пробати породицу коју никада нисте планирали. Одлучите која имена услуга треба да носе употребљиве двостековне одговоре и учините оба та пута намерним. Име које се резолује у породицу без радне путање ствара застој, а не чисту грешку, а застоје је много теже дијагностиковати.

Документујте достижност спољне крајње тачке одвојено, укључујући да ли је укључено неко пролажење кроз NAT и коју породицу користи.

Затим напишите план у шест редова: спољна крајња тачка, пул IPv4, пул IPv6, префикс услуге IPv4, префикс услуге IPv6 и рутер који поседује одговоре за сваки. План тог облика одговара на питања која оператер заиста поставља у три сата ујутру. Све краће оставља двостековни приступ као другу адресу причвршћену на политику само IPv4, и тако обично заврши као полуфункционалан.