strongSwan vips: ขอที่อยู่เสมือนจาก IKEv2

ไคลเอนต์ IKEv2 ของคุณสามารถขอที่อยู่ภายในจากเกตเวย์ได้ และเกตเวย์จะเป็นผู้ตัดสินว่าจะส่งอะไรกลับมา ใน strongSwan คำขอนั้นคือการตั้งค่า vips และมันยังคงเป็นคำขอแม้คุณจะเขียนที่อยู่ที่เจาะจงลงไป คู่มือด้านล่างกำหนดค่าคำขอ โหลดมัน และอ่านสิ่งที่ส่งกลับมา เพราะสามขั้นตอนนั้นล้มเหลวคนละแบบ ไม่มีขั้นตอนใดสั้นลงเมื่อพิมพ์แรงขึ้น

vips ขออะไร และอะไรที่มันรับประกันไม่ได้

vips อยู่ในนิยามการเชื่อมต่อและขอที่อยู่เสมือนจากผู้ตอบ คู่มือที่อยู่เสมือนของ strongSwan ระบุชัดเจนว่าคำตอบอาจเป็นที่อยู่อื่น หรือไม่มีเลย และนั่นคือประโยคที่ผู้คนข้ามไปเมื่อเขียนค่าแล้วคาดหวังให้มันปรากฏ คำขอยังคุ้มค่าที่จะทำ เพราะสิ่งที่คุณตรวจสอบคือคำตอบ มองการตั้งค่านี้เป็นคำสั่งให้ถาม ไม่ใช่การกำหนดค่าของผลลัพธ์

การขอ 0.0.0.0 คือการขอที่อยู่เสมือน IPv4 ใดก็ได้ที่ว่าง ซึ่งมักถูกต้องเมื่อค่าแน่นอนไม่สำคัญ การขอที่อยู่ที่เจาะจงเป็นเพียงคำใบ้ถึงเกตเวย์ ไม่ใช่ข้อเรียกร้องต่อเกตเวย์

ชิ้นส่วน swanctl และที่ของมัน

การตั้งค่าอยู่ในบล็อกการเชื่อมต่อ ไม่ใช่ในไฟล์ของตัวเองและไม่ใช่ในโปรไฟล์ระบบปฏิบัติการ ตัวอย่างที่แยกออกมานี้แสดงรูปร่าง:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

โหลดมันด้วยไฟล์ที่เป็นเจ้าของการเชื่อมต่อ จากนั้นเริ่มการเชื่อมต่อและอ่านผลลัพธ์ ตัวอย่างที่วางผิดส่วนจะทำให้เกิดข้อผิดพลาดในการแยกวิเคราะห์ หรือแย่กว่านั้นคือการเชื่อมต่อที่โหลดโดยไม่มีคำขอที่คุณคิดว่าทำไปแล้ว รันสามคำสั่งตามลำดับและเก็บผลลัพธ์ไว้

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts เลือกทราฟฟิก มันไม่ได้สร้างที่อยู่

local_ts ระบุชุดทราฟฟิกที่ SA ลูกปกป้อง มันไม่ได้วางที่อยู่บนอินเทอร์เฟซ เมื่อ IP เสมือนถูกเจรจาแล้ว strongSwan จะหยุดใช้ตัวเลือกแบบไดนามิกเริ่มต้นและใช้ที่อยู่ที่ได้รับแทน หากคุณตรึงตัวเลือกไว้กับที่อยู่ตามตัวอักษร คุณกำลังอ้างสิ่งที่เกตเวย์อาจไม่ได้ให้ และนั่นคือเหตุผลที่ความล้มเหลวปรากฏเป็น SA ที่ทำงานอยู่แต่ทราฟฟิกไปไม่ถึงไหน ตัวเลือกอธิบายทราฟฟิก ส่วนการกำหนดมานั้นมาจากการแลกเปลี่ยนอีกครั้ง

วิธีอื่นในการได้ที่อยู่ภายในที่มั่นคงคือถือมันไว้ในเครื่องก่อนอุโมงค์ขึ้น วางที่อยู่บนอินเทอร์เฟซก่อนอุโมงค์จะขึ้น ชี้ตัวเลือกไปยังสิ่งที่มีอยู่แล้ว และจัดคู่และเส้นทางรอบๆ มัน

ในการออกแบบนั้นไม่มีอะไรถูกเจรจา ดังนั้นจึงไม่มีอะไรถูกกำหนดใหม่ได้ และนั่นคือข้อแลกเปลี่ยน: ความแน่นอนแลกกับการที่คุณต้องทำงานด้านที่อยู่เอง มันเป็นกลไกอื่น ไม่ใช่รูปแบบของ vips ดังนั้นจึงไม่ควรผสมทั้งสองในหนึ่งการเชื่อมต่อ ตัวเลือกที่ตรึงไว้ข้างที่อยู่ที่เจรจาแล้วคือการเชื่อมต่อที่ทำงานจนกว่าเกตเวย์จะแจกอย่างอื่น

ตรวจสอบว่าผู้ตอบกำหนดให้จริงอะไร

อ่านรายการ SA เพื่อหาที่อยู่ที่เกตเวย์ให้มา แล้วยืนยันว่าที่อยู่นั้นมีอยู่บนอินเทอร์เฟซ หากทั้งสองไม่ตรงกัน อุโมงค์ขึ้นอยู่แต่ทราฟฟิกไม่ได้ไปที่ที่คุณคิด ที่อยู่ที่ได้รับซึ่งไม่เคยไปถึงอินเทอร์เฟซเป็นความล้มเหลวที่น่าสับสนที่สุดในลำดับนี้ เพราะแต่ละครึ่งดูถูกต้องเมื่อมองแยก

แยกสี่ที่อยู่ในบันทึกของคุณ: ที่อยู่ภายในที่ขอ ที่อยู่ที่ได้รับ ที่อยู่ LAN ของเครื่อง และทางออกสาธารณะที่เว็บไซต์รายงาน มันอยู่คนละชั้นและปรากฏคนละที่ คู่มือที่บันทึกทั้งสี่จะทำให้คนอื่นทำตามได้โดยไม่ต้องถามว่าคุณหมายถึงที่อยู่ใด อ่านมันซ้ำหลังโหลดใหม่ทุกครั้ง เพราะค่าที่ได้รับเท่านั้นที่อธิบายอุโมงค์ที่ยังมีชีวิต

แยกการออกแบบแบบคงที่ไว้ต่างหาก

หากคุณต้องการที่อยู่ภายในแบบคงที่ ให้จัดการจองที่เกตเวย์และปล่อยคำขอของไคลเอนต์ให้เป็นคำขอ การผสมตัวเลือกที่ตรึงไว้กับที่อยู่ที่เจรจาแล้วจะได้การเชื่อมต่อที่ทำงานจนกว่าเกตเวย์จะกำหนดอย่างอื่น จดกฎการจองไว้ข้างการเชื่อมต่อ เพราะนั่นคือส่วนที่เพื่อนร่วมงานเดาจากไฟล์กำหนดค่าไม่ได้ จากนั้นไคลเอนต์ใหม่จะสืบทอดกฎแทนที่จะค้นพบใหม่

บนไคลเอนต์ Mac ที่มีมาให้ ไม่มีชื่อตัวเลือกเหล่านี้เลย ใช้การกำหนดหรือการจองที่เกตเวย์เสนอและโปรไฟล์ที่ผู้ให้บริการเผยแพร่ และถือค่าฝั่งไคลเอนต์เป็นเพียงคำใบ้จนกว่าคุณจะอ่านการกำหนดกลับมา การย้อนกลับคือการลบบรรทัด vips แล้วโหลดใหม่ ซึ่งพาคุณกลับไปยังสิ่งที่เกตเวย์กำหนดโดยค่าเริ่มต้น