strongSwan vips: IKEv2'den sanal adres istemek

vips iç IKEv2 adresi ister; ne verileceğine ağ geçidi karar verir. İsteği yapılandırın, yükleyin ve ardından yanıtlayıcının gerçekte ne atadığını doğrulayın.

IKEv2 istemciniz ağ geçidinden iç adres isteyebilir ve ne döndüreceğine ağ geçidi karar verir. strongSwan'da bu istek vips ayarıdır ve içine belirli bir adres yazsanız bile istek olarak kalır. Aşağıdaki kılavuz isteği yapılandırır, yükler ve geri döneni okur, çünkü bu üç adım üç farklı şekilde başarısız olur. Hiçbiri daha sert yazarak kısalmıyor.

vips ne ister ve neyi vaat edemez

vips bir bağlantı tanımının içinde yer alır ve yanıtlayıcıdan sanal adres ister. strongSwan'ın sanal adres kılavuzu, yanıtın başka bir adres ya da hiçbir şey olabileceğini açıkça söyler ve insanların bir değer yazıp görünmesini beklerken atladığı cümle tam da budur. İstek yine de değer, çünkü doğruladığınız şey yanıttır. Ayarı sonucun yapılandırması olarak değil, sorma talimatı olarak ele alın.

0.0.0.0 istemek, kullanılabilir herhangi bir IPv4 sanal adresi istemektir ve tam değer önemli olmadığında bu genellikle doğrudur. Belirli bir adres istemek ağ geçidine bir ipucudur, ona bir talep değil.

swanctl parçası ve ait olduğu yer

Ayar bağlantı bloğunun içindedir, kendi dosyasında değil ve işletim sistemi profilinde de değil. Bu yalıtılmış parça biçimi gösterir:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Bağlantıya sahip dosyayla yükleyin, ardından bağlantıyı başlatın ve sonucu okuyun. Yanlış bölüme yapıştırılan bir parça ayrıştırma hatası ya da daha kötüsü, yaptığınızı sandığınız istek olmadan yüklenen bir bağlantı üretir. Üç komutu sırayla çalıştırın ve çıktıyı saklayın.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts trafiği seçer, adres oluşturmaz

local_ts, alt SA'nın koruduğu trafik kümesini adlandırır; bir arayüze adres koymaz. Sanal IP üzerinde anlaşıldıktan sonra strongSwan varsayılan dinamik seçicisini kullanmayı bırakır ve bunun yerine verilen adresi kullanır. Seçiciyi gerçek bir adrese sabitlerseniz, ağ geçidinin vermemiş olabileceği bir şeyi iddia edersiniz ve bu yüzden arıza, trafiği hiçbir yere gitmeyen çalışan bir SA olarak görünür. Seçici trafiği tanımlar, atama ise diğer alışverişten gelir.

Sabit bir iç adres elde etmenin diğer yolu onu yerel olarak bulundurmaktır. Adresi tünel kalkmadan önce bir arayüze koyun, seçiciyi zaten var olana yöneltin ve eş ile rotayı bunun etrafında düzenleyin.

O tasarımda hiçbir şey müzakere edilmez, bu yüzden hiçbir şey yeniden atanamaz ve işte takas: adresleme işini kendiniz yapmanız karşılığında belirlilik. Bu, vips'in bir türü değil farklı bir mekanizmadır, bu yüzden ikisi tek bir bağlantıda karıştırılmamalıdır. Anlaşılmış bir adresin yanında sabitlenmiş bir seçici, ağ geçidi başka bir şey verene kadar çalışan bir bağlantıdır.

Yanıtlayıcının gerçekte ne atadığını doğrulayın

Ağ geçidinin verdiği adres için SA listesini okuyun, ardından adresin arayüzde var olduğunu doğrulayın. İkisi uyuşmuyorsa tünel ayaktadır ve trafik sandığınız yere gitmiyordur. Arayüze asla ulaşmayan verilmiş bir adres, bu dizideki en kafa karıştırıcı arızadır, çünkü her yarı tek başına doğru görünür.

Notlarınızda dört adresi ayrı tutun: istenen iç adres, verilen adres, makinenin LAN adresi ve bir web sitesinin bildirdiği genel çıkış. Farklı katmanlara aittirler ve farklı yerlerde görünürler. Dördünü de kaydeden bir kılavuz, başka birinin hangi adresi kastettiğinizi sormadan izleyebileceği bir kılavuzdur. Her yeniden yüklemeden sonra tekrar okuyun, çünkü verilen değer canlı tüneli tanımlayan tek değerdir.

Statik tasarımı ayrı tutun

Sabit bir iç adrese ihtiyacınız varsa rezervasyonu ağ geçidinde ayarlayın ve istemcinin isteğini istek olarak bırakın. Sabitlenmiş bir seçiciyi anlaşılmış bir adresle karıştırmak, ağ geçidi başka bir şey atayana kadar çalışan bir bağlantı verir. Rezervasyon kuralını bağlantının yanına yazın, çünkü bu, bir meslektaşın yapılandırma dosyasından çıkaramayacağı kısımdır. O zaman yeni bir istemci kuralı yeniden keşfetmek yerine devralır.

Yerleşik Mac istemcisinde bu seçenek adlarının hiçbiri yoktur. Ağ geçidinin sunduğu herhangi bir atamayı veya rezervasyonu ve operatörün yayımladığı profili kullanın, atamayı yeniden okuyana kadar istemci tarafındaki her değeri ipucu olarak görün. Geri alma, vips satırını kaldırıp yeniden yüklemektir; bu sizi ağ geçidinin varsayılan olarak atadığı duruma döndürür.

İlgili makaleler