Mabwawa ya VPN ya tabaka mbili: kushughulikia familia zote mbili katika strongSwan

Lango linaweza kumpa mtumiaji anayesafiri anwani pepe ya IPv4 na IPv6 kwa wakati mmoja, wakati handaki la nje bado linapita juu ya IPv4. Haya ni maamuzi huru, na kuyachukulia kama moja ndipo mipango ya tabaka mbili kawaida huvunjika. Familia za ndani za mteja, viambishi vilivyolindwa anazoweza kufikia, na usafirishaji unaobeba ufungashaji ni chaguo tatu tofauti.

Machafuko mengi hutokana na kutumia neno tabaka mbili kwa muundo ambao ni tabaka mbili mahali pamoja tu. Huduma inaweza kuwa tabaka mbili ndani, tabaka moja kwenye anwani yake ya nje, na bado ifanye kazi vizuri sana kwa wateja. Isiyoweza kufanya ni kufanya kazi kwa bahati.

Familia mbili ndani, njia moja nje

Muunganisho wa nje ni IKE juu ya UDP, na unahitaji familia moja ya anwani inayofikiwa kutoka popote alipo mteja. Anwani ya ndani ya IPv6 haihitaji mtoa huduma mwenye IPv6, kwa sababu pakiti ya ndani ni mzigo ndani ya ile ya nje. Usambazaji mwingi unaofanya kazi hubeba viambishi vya IPv6 kupitia kiungo cha juu chenye IPv4 pekee.

Kinachozuiliwa kweli na njia ya nje ni ufikivu na upitishaji wa NAT. Ikiwa lango linatangaza anwani ya IPv4 pekee, mteja aliye kwenye mtandao wa IPv6 pekee hawezi kuunganisha kabisa, bila kujali mabwawa uliyosanidi. Amua familia ya nje kwa kuzingatia idadi ya wateja wako, si kwa mpango wa anwani wa ndani.

Mpe mteja anwani katika kila familia

Kuomba familia zote mbili ni sentensi ya mstari mmoja kwa upande wa mteja, mradi lango lina kitu cha kugawa. Mabwawa yenye majina huweka vyanzo mbali na mitandao ya huduma, na hii ndiyo sifa inayofanya kanuni za firewall zisomeke miezi sita baadaye.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

Thamani vips inaomba anwani kutoka kila familia, na orodha ya mabwawa huamua anwani hizo zinatoka wapi. Nyaraka za strongSwan kuhusu IP pepe zinashughulikia maombi mengi na ugawaji wa mabwawa, ikiwa ni pamoja na hoja kwamba mteja anayeomba anwani maalum anaeleza tu upendeleo ambao mjibuji anaweza kuubatilisha. Usijenge kanuni ya ufikiaji inayodhani mteja hupata thamani sawa kila wakati.

Zalisha kiambishi chako cha kipekee cha ndani badala ya kunakili mfano. Mashirika mawili ambayo yote mawili fd42::/16 yanaitumia yatagundua mgongano mara ya kwanza yanapounganishwa, na kuchunguza hilo si jambo la kupendeza.

Vichaguzi hueleza mahali pa kwenda, si vyanzo

Vichaguzi vya ndani vya trafiki vya SA mtoto vinasema ni mitandao gani iliyolindwa iliyo nyuma ya lango, na vichaguzi vya mbali vinaeleza kile mteja anachoweza kutumia kama chanzo. Anwani ya bwawa pepe ni ya upande wa chanzo wa sera hiyo; kuiweka kwenye orodha ya mahali pa kwenda ni usomaji mbaya wa kawaida wa usanidi.

Familia zote mbili zinahitaji njia za kurudi na upelekaji unaoruhusiwa kwenye lango. Kuongeza kiambishi kwa kichaguzi bila njia ya kurudi kwenye bwawa huzalisha handaki linaloanzishwa, kupitisha mwelekeo mmoja wa trafiki na kutupa jibu kimya kimya. Kichaguzi ni sera, si upangaji njia.

Weka mabwawa na viambishi vya huduma katika sehemu tofauti za mpango wako wa anwani. Zinapoingiliana, njia inayopaswa kufikia mwenyeji aliyelindwa inaweza kuendana na anwani ya bwawa na kutoweka ndani ya handaki.

DNS na njia ya jibu huamua kama inaonekana imekamilika

Majibu ya kitatuzi hayategemei usafirishaji unaotumika kuufikia. Jina linaweza kurudisha rekodi A, rekodi AAAA au zote mbili, na mteja huchagua kwa kufuata kanuni zake za upendeleo. Ikiwa huduma ya ndani inachapisha rekodi AAAA lakini hakuna kinachopanga njia kiambishi hicho, wateja kwenye mitandao ya tabaka mbili watajaribu njia ya IPv6 kwanza na kukaa hapo hadi ishindwe. Hakuna kinachoonekana kibaya kwenye usanidi wa handaki wakati hilo likitokea.

Kwa hiyo amua kwa kila jina ni familia zipi zinapaswa kutumika, kisha hakikisha kiambishi husika kiko kwenye kichaguzi na kina njia ya kurudi. Huu ni uamuzi kwa kila huduma. Kuchapisha aina zote mbili za rekodi bila ubaguzi ndiyo njia ambayo huduma inayofanya kazi kwa IPv4 pekee huanza kufikia muda wa mwisho kwa nusu ya watumiaji wake.

Thibitisha familia zote mbili kabla ya kuiita imekamilika

Usanidi unaopakiwa si usanidi unaofanya kazi. Soma hali inayoripotiwa na daemon, thibitisha ugawaji wa mabwawa, kisha angalia njia ambazo mteja aliweka kweli.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

Amri mbili za kwanza zinaonyesha SA mtoto zilizoanzishwa na mabwawa ambayo bado yana anwani, kwa hivyo mpango unaofanya kazi kwa mteja wa kwanza na kushindwa kwa wa kumi unaonekana. Mbili za mwisho zinaonyesha kama mteja alipata anwani ya kimataifa ya IPv6 kutoka kwenye bwawa na trafiki kuelekea kiambishi kilicholindwa itakwenda wapi kweli. Linganisha anwani iliyotolewa na bwawa ulilolisanidi, si na anwani uliyokuwa ukitarajia. Ikiwa mjibuji alichagua thamani tofauti kwa mujibu wa sera yake, njia na kanuni za firewall lazima bado zilingane na alichochagua.

Kisha jaribu mwenyeji mmoja aliyelindwa kwa kila familia, na jaribu jina linalotatuliwa kwa zote mbili. Jaribio la familia moja hakikwambii chochote kuhusu nusu ya mpango ambao hukufanya mazoezi, na njia inayokosekana kawaida huwa katika nusu hiyo.