Pagpaplano ng pribadong pag-access na IKEv2 na may dobleng stack gamit ang strongSwan

Ang tunnel na may dobleng stack ay hindi isang desisyon kundi tatlo, at maaaring sagutin ang mga ito nang iba. Aling pamilya ang dinaraanan ng panlabas na tunnel, aling pamilya ang natatanggap ng kliyente sa loob at aling pamilya ang talagang sinasagot ng mga protektadong serbisyo. Ang disenyong itinuturing silang isang pagpipilian ay nagdadala ng IPv6 na hindi kailanman kailangan o namamahagi ng mga address na walang makapag-route pabalik. Paghiwalayin ang tatlo at ang natitirang configuration ay halos mekanikal na.

Tatlong uri ng address, magkahiwalay na napagpasyahan

Ang panlabas na address ay kung paano naaabot ng dalawang gateway ang isa't isa, at maaari itong IPv4 habang ang panloob na trapiko ay nagdadala ng parehong pamilya. Ang panloob na virtual address ay ang pagkakakilanlan ng kliyente sa loob ng tunnel, at bawat pamilya ay nangangailangan ng sariling pool. Ang mga protektadong prefix ay ang naaabot ng kliyente, at pag-aari nila ng mga serbisyo at hindi ng tunnel. Ang paghahalo ng pangatlo sa pangalawa ay nagdudulot ng karamihan ng mga pagkakamali sa pagpaplano, dahil pareho silang mukhang pribadong saklaw.

Ang panlabas na transport na IPv4 lamang na may panloob na trapikong dobleng stack ay isang normal at mahusay na sinusuportahang kaayusan.

Magpasya sa bawat isa nang tahasan at isulat ang mga desisyon. Kung ang panlabas na landas ay IPv4 lamang, sabihin ito at itigil ang pag-aalala tungkol sa maabot ng mga endpoint ng IPv6. Kung may pamilyang inilalaan sa loob ngunit walang sumasagot dito, alisin ito sa plano o gawing tunay na dobleng stack ang mga serbisyong iyon.

Maglaan ng virtual address sa bawat pamilya

Sa configuration ng swanctl, humihingi ang kliyente ng mga virtual address, at ang wildcard sa bawat pamilya ay humihiling sa tagasagot na maglaan ng isa mula sa bawat isa. Kinukuha ng tagasagot ang mga ito mula sa mga pool, at ang mga pool ay hiwalay na bagay mula sa mga network sa likod ng gateway. Panatilihin silang hiwalay sa plano, dahil ang pool na nagsasapawan sa isang prefix ng serbisyo ay gumagawa ng routing na mukhang tama hanggang sa sandaling lumapag ang trapiko sa hindi inaasahang lugar.

Humingi ng parehong pamilya kapag kailangan mo ang dalawa, at isa kapag hindi, dahil ang address na hindi ginagamit ay ibabaw ng patakaran na walang pakinabang. Ang tiyak na kahilingan ay kahilingan at hindi reserbasyon, at ang tagasagot ay maaaring magbalik ng ibang halaga ayon sa sariling patakaran. Mahalaga ang detalyeng iyon saanman ang address ay hard-coded sa isang tuntunin ng firewall o pagsusuri ng monitoring. Sumangguni sa mga pool sa pangalan sa koneksyon at panatilihing labas ang mga network ng serbisyo.

vips = 0.0.0.0, ::

Bumuo ng sarili mong natatanging lokal na prefix para sa pool ng IPv6 sa halip na magpatibay ng maikling halimbawang halaga. Ipinapakita ng halimbawa ang hugis ng setting, hindi isang default na mamanahin.

Ilarawan ang mga destinasyon nang hiwalay sa mga pool

Inilalarawan ng mga tagapili ng trapiko kung ano ang inaasahang ipagpalitan ng bawat panig, kaya dapat pangalanan ng mga lokal na tagapili ng gateway ang mga protektadong prefix ng serbisyo at hindi ang mga pool ng kliyente. Sinasalamin ng mga malayong tagapili ng kliyente ang layuning iyon. Kapag ang dalawang listahan ay naglalarawan ng magkaibang bagay, maaaring umangat ang tunnel at wala pa ring dalang kapaki-pakinabang.

Ang parehong mga prefix ay nangangailangan ng mga rutang pabalik at pinapayagang pagpapasa sa loob ng network ng gateway, para sa bawat pamilyang papaganahin mo.

Dito tumitigil ang pribadong planong IPv6 sa pagiging sapat. Ang natatanging lokal na pag-adres ay bumibili ng pribadong maabot at hindi lumilikha ng pampublikong labasan ng IPv6, kaya ang disenyong nagpapalagay na ang pamilyang walang numero ay susunod lamang sa mga tuntunin ng pagbabalatkayo ng IPv4 ay bibiguin ang mga gumagamit nito. Kung ang pampublikong pag-access sa IPv6 ay bahagi ng pangangailangan, kailangan nito ng rutang plano at upstream na sumasang-ayon dito. Kung hindi, sabihin nang malinaw na ang panig ng IPv6 ay pribado lamang, na isang tapat na hangganan at hindi isang limitasyong itatago.

Gawing sinasadya ang DNS at mga landas pabalik

Ang paglutas ng pangalan ay hindi sumusunod sa transport. Ang resolver ay maaaring magbalik ng mga talaang A at AAAA sa pamamagitan ng tunnel na IPv4 lamang, at susubukan ng kliyente ang isang pamilyang hindi mo kailanman pinlano. Magpasya kung aling mga pangalan ng serbisyo ang dapat magdala ng magagamit na mga sagot na dobleng stack at gawing sinasadya ang dalawang landas na iyon. Ang pangalang nalulutas sa isang pamilyang walang gumaganang landas ay gumagawa ng pagkaantala sa halip na malinis na error, at ang mga pagkaantala ay mas mahirap i-diagnose.

Idokumento nang hiwalay ang maabot ng panlabas na endpoint, kabilang kung may anumang pagtawid sa NAT na sangkot at aling pamilya ang ginagamit nito.

Pagkatapos ay isulat ang plano sa anim na linya: panlabas na endpoint, pool ng IPv4, pool ng IPv6, prefix ng serbisyong IPv4, prefix ng serbisyong IPv6, at ang router na nagmamay-ari ng mga sagot para sa bawat isa. Ang planong may ganoong hugis ay sumasagot sa mga tanong na talagang itinatanong ng isang operator sa alas tres ng madaling araw. Anumang mas maikli ay iniiwan ang dobleng stack bilang pangalawang address na naka-bolts sa patakarang IPv4 lamang, at ganoon karaniwang nagtatapos ito sa kalahating gumagana.