இரட்டை-அடுக்கு VPN குளங்கள்: strongSwan இல் இரு குடும்பங்களையும் முகவரியிடல்

ஒரு நுழைவாயில் பயணப் பயனருக்கு IPv4 மற்றும் IPv6 இரண்டு மெய்நிகர் முகவரிகளையும் வழங்க முடியும், அதே நேரம் வெளிப்புற சுரங்கப்பாதை இன்னும் IPv4 வழியாகவே செல்கிறது. இவை சுயாதீன முடிவுகள், மேலும் இவற்றை ஒன்றாகக் கருதுவதுதான் இரட்டை-அடுக்கு திட்டங்கள் பொதுவாக உடையும் இடம். வாடிக்கையாளரின் உள் குடும்பங்கள், அது அடையக்கூடிய பாதுகாக்கப்பட்ட முன்னொட்டுகள், மற்றும் என்கேப்சுலேஷனைச் சுமக்கும் போக்குவரத்து ஆகியவை மூன்று தனித்தனி தேர்வுகள்.

பெரும்பாலான குழப்பம், ஒரே இடத்தில் மட்டுமே இரட்டை அடுக்காக இருக்கும் வடிவமைப்புக்கு இரட்டை அடுக்கு என்ற சொல்லைப் பயன்படுத்துவதால் வருகிறது. ஒரு சேவை உள்ளே இரட்டை அடுக்காகவும், அதன் வெளிப்புற முகவரியில் ஒற்றை அடுக்காகவும் இருந்தாலும் வாடிக்கையாளர்களுக்கு நன்றாகவே செயல்பட முடியும். அது செய்ய முடியாதது தற்செயலாகச் செயல்படுவது.

உள்ளே இரண்டு குடும்பங்கள், வெளியே ஒரு பாதை

வெளிப்புற இணைப்பு UDP மீது IKE, மேலும் வாடிக்கையாளர் எங்கிருந்தாலும் அங்கிருந்து அணுகக்கூடிய ஒரு முகவரிக் குடும்பம் அதற்குத் தேவை. உள் IPv6 முகவரிக்கு IPv6 ஆதரவுள்ள ISP தேவையில்லை, ஏனெனில் உள் பொதி வெளிப்புறப் பொதிக்குள் இருக்கும் சுமை. பல செயல்படும் பயன்பாடுகள் IPv6 முன்னொட்டுகளை IPv4 மட்டும் கொண்ட மேல்இணைப்பு வழியாகக் கொண்டு செல்கின்றன.

வெளிப்புறப் பாதை உண்மையில் கட்டுப்படுத்துவது அணுகல் தன்மையும் NAT கடப்பும். நுழைவாயில் IPv4 முகவரியை மட்டும் அறிவித்தால், IPv6 மட்டும் கொண்ட வலையமைப்பில் உள்ள வாடிக்கையாளர் நீங்கள் எத்தனை குளங்களை அமைத்தாலும் முற்றிலும் இணைக்க முடியாது. வெளிப்புறக் குடும்பத்தை உங்கள் வாடிக்கையாளர் எண்ணிக்கையின் அடிப்படையில் தீர்மானியுங்கள், உள் முகவரித் திட்டத்தின் அடிப்படையில் அல்ல.

ஒவ்வொரு குடும்பத்திலும் வாடிக்கையாளருக்கு முகவரி கொடுங்கள்

இரு குடும்பங்களையும் கோருவது வாடிக்கையாளர் பக்கத்தில் ஒரு வரி அறிக்கை, நுழைவாயிலிடம் பங்கிட ஏதேனும் இருந்தால். பெயரிடப்பட்ட குளங்கள் மூலங்களைச் சேவை வலையமைப்புகளிலிருந்து தனியாக வைத்திருக்கின்றன, இந்தப் பண்புதான் ஆறு மாதங்களுக்குப் பிறகும் தீவுச் சுவர் விதிகளைப் படிக்கக்கூடியதாக வைக்கிறது.

pools {
  pool4 { addrs = 10.90.0.0/24 }
  pool6 { addrs = fd42:90::/64 }
}
connections {
  private-access {
    version = 2
    pools = pool4, pool6
    local  { auth = pubkey  certs = gateway.pem  id = vpn.example.com }
    remote { auth = pubkey  cacerts = ca.pem  vips = 0.0.0.0, :: }
    children {
      private { local_ts = 10.60.0.0/16, fd42:60::/48  remote_ts = dynamic }
    }
  }
}

இந்த vips மதிப்பு ஒவ்வொரு குடும்பத்திலிருந்தும் ஒரு முகவரியைக் கேட்கிறது, குளங்களின் பட்டியல் அந்த முகவரிகள் எங்கிருந்து வருகின்றன என்பதைத் தீர்மானிக்கிறது.strongSwan இன் மெய்நிகர்-IP ஆவணங்கள் பல கோரிக்கைகளையும் குள ஒதுக்கீட்டையும் உள்ளடக்குகின்றன, குறிப்பிட்ட முகவரியைக் கேட்கும் வாடிக்கையாளர் பதிலளிப்பவர் ரத்து செய்யக்கூடிய ஒரு விருப்பத்தை மட்டுமே தெரிவிக்கிறார் என்பதும் அடங்கும். வாடிக்கையாளர் எப்போதும் ஒரே மதிப்பைப் பெறுகிறார் என்று கருதும் அணுகல் விதியை உருவாக்க வேண்டாம்.

எடுத்துக்காட்டை நகலெடுப்பதற்குப் பதிலாக உங்கள் சொந்த தனித்துவமான உள்ளூர் முன்னொட்டை உருவாக்குங்கள். இரண்டு நிறுவனங்களும் fd42::/16 செயல்படுத்தினால், முதல் முறையாக ஒன்றோடொன்று இணைக்கும்போது மோதலைக் கண்டறியும், அதைக் கண்டறிவது இனிமையானது அல்ல.

தேர்விகள் இலக்குகளை விவரிக்கின்றன, மூலங்களை அல்ல

குழந்தை SA இன் உள்ளூர் போக்குவரத்துத் தேர்விகள் நுழைவாயிலுக்குப் பின்னால் எந்தப் பாதுகாக்கப்பட்ட வலையமைப்புகள் உள்ளன என்பதைக் கூறுகின்றன, தொலைத் தேர்விகள் வாடிக்கையாளர் மூலமாக என்ன பயன்படுத்தலாம் என்பதை விவரிக்கின்றன. மெய்நிகர் குள முகவரி அந்தக் கொள்கையின் மூலப் பக்கத்திற்கு உரியது; அதை இலக்குப் பட்டியலில் வைப்பது கட்டமைப்பின் பொதுவான தவறான வாசிப்பு.

இரு குடும்பங்களுக்கும் நுழைவாயிலில் திரும்பும் பாதைகளும் அனுமதிக்கப்பட்ட முன்னனுப்பலும் தேவை. குளத்திற்குத் திரும்பும் பாதையின்றி தேர்வியில் முன்னொட்டைச் சேர்ப்பது நிறுவப்பட்டு, ஒரு திசைப் போக்குவரத்தைக் கடத்தி, பதிலை அமைதியாக வீசும் சுரங்கப்பாதையை உருவாக்குகிறது. தேர்வி என்பது கொள்கை, வழித்தடம் அல்ல.

குளங்களையும் சேவை முன்னொட்டுகளையும் உங்கள் முகவரித் திட்டத்தின் தனித் தொகுதிகளில் வையுங்கள். அவை மேற்பொருந்தும்போது, பாதுகாக்கப்பட்ட புரவலனை அடைய வேண்டிய பாதை ஒரு குள முகவரியுடன் பொருந்தி சுரங்கப்பாதைக்குள் மறைந்து போகலாம்.

DNS உம் பதில் பாதையும் அது நிறைவாகத் தெரிகிறதா என்பதைத் தீர்மானிக்கின்றன

தீர்வியின் பதில்கள் அதை அடையப் பயன்படுத்தப்படும் போக்குவரத்திலிருந்து சுயாதீனமானவை. ஒரு பெயர் A பதிவு, AAAA பதிவு அல்லது இரண்டையும் திருப்பித் தரலாம், வாடிக்கையாளர் தனது சொந்த விருப்பு விதிகளின்படி தேர்ந்தெடுக்கிறார். ஒரு உள் சேவை AAAA பதிவை வெளியிட்டாலும் அந்த முன்னொட்டை எதுவும் வழிப்படுத்தாவிட்டால், இரட்டை-அடுக்கு வலையமைப்புகளில் உள்ள வாடிக்கையாளர்கள் முதலில் IPv6 பாதையை முயற்சித்து அது தோல்வியடையும் வரை அங்கேயே இருப்பார்கள். அது நடக்கும்போது சுரங்கப்பாதைக் கட்டமைப்பில் எதுவும் தவறாகத் தெரியவில்லை.

எனவே ஒவ்வொரு பெயருக்கும் எந்தக் குடும்பங்கள் பயன்படுத்தக்கூடியதாக இருக்க வேண்டும் என்பதைத் தீர்மானித்து, பின்னர் தொடர்புடைய முன்னொட்டு தேர்வியில் உள்ளதா, அதற்குத் திரும்பும் பாதை உள்ளதா என்பதைச் சரிபார்க்கவும். இது ஒவ்வொரு சேவைக்குமான முடிவு. இரு பதிவு வகைகளையும் வேறுபாடின்றி வெளியிடுவதுதான் IPv4 மட்டும் கொண்ட செயல்படும் சேவை அதன் பாதி பயனர்களுக்கு நேரம் முடிவடையத் தொடங்கும் வழி.

முடிந்தது என்று சொல்லும் முன் இரு குடும்பங்களையும் சரிபாருங்கள்

ஏற்றப்படும் கட்டமைப்பு செயல்படும் கட்டமைப்பு அல்ல. டீமன் தெரிவிக்கும் நிலையைப் படியுங்கள், குள ஒதுக்கீடுகளை உறுதிசெய்யுங்கள், பின்னர் வாடிக்கையாளர் உண்மையில் நிறுவிய பாதைகளைப் பாருங்கள்.

swanctl --list-sas
swanctl --list-pools
ip -6 addr show scope global
ip -6 route get fd42:60::10

முதல் இரண்டு கட்டளைகள் நிறுவப்பட்ட குழந்தை SA களையும் எந்தக் குளங்களில் இன்னும் முகவரிகள் உள்ளன என்பதையும் காட்டுகின்றன, எனவே முதல் வாடிக்கையாளருக்கு வேலை செய்து பத்தாவதற்குத் தோல்வியடையும் திட்டம் தெரியவரும். கடைசி இரண்டு, வாடிக்கையாளர் குளத்திலிருந்து உலகளாவிய IPv6 முகவரியைப் பெற்றாரா, பாதுகாக்கப்பட்ட முன்னொட்டிற்கான போக்குவரத்து உண்மையில் எங்கே செல்லும் என்பதைக் காட்டுகின்றன. ஒதுக்கப்பட்ட முகவரியை நீங்கள் அமைத்த குளத்துடன் ஒப்பிடுங்கள், நீங்கள் எதிர்பார்த்த முகவரியுடன் அல்ல. பதிலளிப்பவர் தனது கொள்கையின்படி வேறு மதிப்பைத் தேர்ந்தெடுத்திருந்தால், பாதைகளும் தீவுச் சுவர் விதிகளும் இன்னும் அவரது தேர்வுடன் பொருந்த வேண்டும்.

பின்னர் ஒவ்வொரு குடும்பத்திற்கும் ஒரு பாதுகாக்கப்பட்ட புரவலனையும், இரண்டிற்கும் தீர்வாகும் ஒரு பெயரையும் சோதிக்கவும். ஒற்றைக் குடும்பச் சோதனை நீங்கள் பயிற்சி செய்யாத திட்டத்தின் பாதி பற்றி எதுவும் சொல்லாது, காணாமல் போன பாதை பொதுவாக அதே பாதியில் இருக்கும்.