strongSwan vips: како затражити виртуелну адресу од IKEv2

vips тражи унутрашњу IKEv2 адресу; мрежни пролаз одлучује шта ће доделити. Подесите захтев, учитајте га, па проверите шта је одговарач заиста доделио.

Ваш IKEv2 клијент може затражити унутрашњу адресу од мрежног пролаза, а пролаз одлучује шта ће вратити. У strongSwan-у тај захтев је поставка vips и остаје захтев чак и када у њу упишете конкретну адресу. Упутство испод подешава захтев, учитава га и чита шта се вратило, јер та три корака не успевају на три различита начина. Ниједан од њих не постаје краћи колико год јаче куцали.

Шта vips тражи и шта не може да обећа

vips припада унутар дефиниције везе и тражи виртуелну адресу од одговарача. Водич strongSwan-а за виртуелне адресе јасно каже да одговор може бити друга адреса или ништа, а то је реченица коју људи прескоче када упишу вредност и очекују да се појави. Захтев се ипак исплати послати, јер оно што проверавате јесте одговор. Третирајте поставку као упутство да питате, а не као конфигурацију исхода.

Захтев за 0.0.0.0 тражи било коју доступну IPv4 виртуелну адресу, што је обично исправно када тачна вредност није важна. Тражење конкретне адресе је наговештај пролазу, а не захтев према њему.

Фрагмент swanctl и где му је место

Поставка стоји унутар блока везе, не у сопственој датотеци и не у профилу оперативног система. Овај изоловани фрагмент показује облик:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Учитајте га датотеком која поседује везу, затим покрените везу и прочитајте резултат. Фрагмент залепљен у погрешан одељак даје грешку при рашчлањивању или, још горе, везу која се учита без захтева за који сте мислили да сте га послали. Покрените три наредбе по реду и сачувајте излаз.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts бира саобраћај, не ствара адресу

local_ts именује скуп саобраћаја који подређени SA штити; он не ставља адресу на интерфејс. Када се виртуелни IP договори, strongSwan престаје да користи свој подразумевани динамички селектор и уместо тога користи додељену адресу. Ако селектор прикујете за дословну адресу, тврдите нешто што пролаз можда није доделио, и зато се квар појављује као исправан SA са саобраћајем који никуда не иде. Селектор описује саобраћај, док додела долази из друге размене.

Други начин да добијете стабилну унутрашњу адресу јесте да је поседујете локално. Ставите адресу на интерфејс пре него што се тунел подигне, усмерите селектор на оно што већ постоји и уредите партнера и руту око тога.

У том дизајну ништа се не договара, па се ништа не може прерасподелити, и то је размена: детерминизам у замену за то да сами обавите адресирање. То је другачији механизам, а не варијанта vips-а, због чега их не треба мешати у једној вези. Прикуцани селектор поред договорене адресе је веза која ради док пролаз не додели нешто друго.

Проверите шта је одговарач заиста доделио

Прочитајте списак SA за адресу коју је пролаз доделио, па потврдите да адреса постоји на интерфејсу. Ако се њих двоје не слажу, тунел је подигнут, а саобраћај не иде тамо где мислите. Додељена адреса која никада не стигне до интерфејса је најзбуњујући квар у овом низу, јер свака половина наизглед је исправна сама за себе.

Држите четири адресе одвојено у белешкама: тражену унутрашњу адресу, додељену, LAN адресу машине и јавни излаз који нека веб локација пријави. Оне припадају различитим слојевима и појављују се на различитим местима. Упутство које бележи све четири је оно које неко други може следити без питања на коју адресу сте мислили. Прочитајте их поново након сваког поновног учитавања, јер додељена вредност је једина која описује живу везу.

Држите статични дизајн одвојено

Ако вам треба фиксна унутрашња адреса, уредите резервацију на пролазу и оставите захтев клијента као захтев. Мешање прикуцаног селектора са договореном адресом даје везу која ради док пролаз не додели нешто друго. Запишите правило резервације поред везе, јер то је део који колега не може закључити из конфигурационе датотеке. Тада нови клијент наслеђује правило уместо да га поново открива.

На уграђеном Mac клијенту ниједно од ових имена опција не постоји. Користите било коју доделу или резервацију коју пролаз нуди и профил који оператер објављује, а сваку вредност на страни клијента сматрајте наговештајем док не прочитате доделу назад. Враћање значи уклањање реда vips и поновно учитавање, што вас враћа на оно што пролаз додељује подразумевано.

Повезани чланци