strongSwan vips: humihingi ng virtual na address sa IKEv2

Maaaring humingi ang iyong IKEv2 client ng panloob na address sa gateway, at ang gateway ang nagtatakda kung ano ang ibabalik. Sa strongSwan, ang kahilingang iyon ay ang setting na vips, at nananatili itong kahilingan kahit magsulat ka ng tiyak na address dito. Ang gabay sa ibaba ay nagsasaayos ng kahilingan, naglo-load nito at nagbabasa ng ibinalik, dahil nabibigo ang tatlong hakbang na iyon sa tatlong magkakaibang paraan. Wala sa mga ito ang umiikli sa mas malakas na pag-type.

Ano ang hinihingi ng vips, at ano ang hindi nito maipapangako

Ang vips ay kabilang sa isang depinisyon ng koneksyon at humihingi ng virtual na address sa tumutugon. Ang gabay ng strongSwan sa mga virtual na address ay tahasang nagsasabi na ang sagot ay maaaring ibang address, o wala talaga, at iyon ang pangungusap na nilalaktawan ng mga tao kapag naglagay sila ng halaga at inaasahang lalabas ito. Sulit pa rin ang kahilingan, dahil ang sinusuri mo ay ang sagot. Ituring ang setting bilang utos na magtanong, hindi bilang pagsasaayos ng resulta.

Ang paghingi ng 0.0.0.0 ay humihingi ng anumang available na virtual na IPv4 address, na karaniwang tama kapag hindi mahalaga ang eksaktong halaga. Ang paghingi ng tiyak na address ay isang pahiwatig sa gateway, hindi isang kahilingan dito.

Ang bahagi ng swanctl at kung saan ito nabibilang

Ang setting ay nasa loob ng block ng koneksyon, hindi sa sarili nitong file at hindi sa profile ng operating system. Ang hiwalay na bahaging ito ay nagpapakita ng hugis:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

I-load ito gamit ang file na nagmamay-ari ng koneksyon, pagkatapos ay simulan ang koneksyon at basahin ang resulta. Ang bahaging idinikit sa maling seksyon ay nagdudulot ng error sa pag-parse o, mas malala, koneksyon na naglo-load nang walang kahilingang akala mo ay ginawa mo. Patakbuhin ang tatlong utos nang sunud-sunod at itago ang output.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

Pumipili ang local_ts ng trapiko, hindi ito gumagawa ng address

Pinangalanan ng local_ts ang set ng trapikong pinoprotektahan ng child SA; hindi ito naglalagay ng address sa isang interface. Kapag naisagawa na ang virtual na IP, tumitigil ang strongSwan sa paggamit ng default nitong dinamikong selector at ginagamit sa halip ang address na ibinigay. Kung ikakabit mo ang selector sa isang literal na address, nag-aangkin ka ng isang bagay na maaaring hindi ibinigay ng gateway, at iyon ang dahilan kung bakit lumilitaw ang kabiguan bilang gumaganang SA na may trapikong walang pinupuntahan. Inilalarawan ng selector ang trapiko, samantalang ang pagtatalaga ay nagmumula sa kabilang palitan.

Ang isa pang paraan upang makakuha ng matatag na panloob na address ay ang pagmamay-ari nito nang lokal. Ilagay ang address sa isang interface bago umangat ang tunel, itutok ang selector sa umiiral na, at ayusin ang kapareha at ruta sa paligid nito.

Wala mang napag-uusapan sa disenyong iyon, kaya walang maaaring italaga muli, at iyon ang palitan: determinismo kapalit ng sarili mong paggawa ng pag-address. Iba itong mekanismo, hindi variant ng vips, kaya hindi dapat paghalo ang dalawa sa iisang koneksyon. Ang naka-pin na selector sa tabi ng napag-usapang address ay koneksyong gumagana hanggang magbigay ang gateway ng iba.

Tiyakin kung ano talaga ang itinalaga ng tumutugon

Basahin ang listahan ng SA para sa address na ibinigay ng gateway, pagkatapos ay tiyakin na umiiral ang address sa interface. Kung hindi magkatugma ang dalawa, nakataas ang tunel at hindi pumupunta ang trapiko sa iniisip mo. Ang ibinigay na address na hindi kailanman umabot sa interface ay ang pinakalitong kabiguan sa sekwens na ito, dahil mukhang tama ang bawat kalahati nang mag-isa.

Panatilihing hiwalay ang apat na address sa iyong mga tala: ang hiniling na panloob na address, ang ibinigay, ang LAN address ng makina, at ang pampublikong labasan na iniuulat ng isang website. Kabilang sila sa magkaibang layer at lumilitaw sa magkaibang lugar. Ang gabay na nagtatala sa lahat ng apat ay isang masusunod ng iba nang hindi nagtatanong kung aling address ang ibig mong sabihin. Basahin muli ang mga ito pagkatapos ng bawat pag-load, dahil ang ibinigay na halaga lamang ang naglalarawan sa buhay na tunel.

Panatilihing hiwalay ang statikong disenyo

Kung kailangan mo ng fixed na panloob na address, ayusin ang reserbasyon sa gateway at hayaang manatiling kahilingan ang kahilingan ng client. Ang paghahalo ng naka-pin na selector sa napag-usapang address ay nagbibigay ng koneksyong gumagana hanggang magtalaga ang gateway ng iba. Isulat ang tuntunin ng reserbasyon sa tabi ng koneksyon, dahil iyon ang bahaging hindi mahihinuha ng katrabaho mula sa configuration file. Pagkatapos, namamana ng bagong client ang tuntunin sa halip na matuklasan itong muli.

Sa built-in na Mac client, wala ni isa sa mga pangalan ng opsyong ito. Gamitin ang anumang pagtatalaga o reserbasyon na inaalok ng gateway at ang profile na inilalathala ng operator, at ituring ang anumang halaga sa gilid ng client bilang pahiwatig hanggang mabasa mong muli ang pagtatalaga. Ang rollback ay pag-alis ng linyang vips at muling pag-load, na nagbabalik sa iyo sa itinatakda ng gateway bilang default.