strongSwan bilan ikki qatlamli IKEv2 xususiy kirishini rejalashtirish

Ikki qatlamli tunnel bitta qaror emas, uchta, va ularga turlicha javob berish mumkin. Tashqi tunnel qaysi oila ustidan ketadi, mijoz ichkarida qaysi oilalarni oladi va himoyalangan xizmatlar aslida qaysi oilalarda javob beradi. Ularni bitta tanlov deb qaraydigan loyiha yo hech qachon kerak bo'lmagan IPv6 ni olib yuradi, yo hech narsa qaytarib yo'naltira olmaydigan manzillarni tarqatadi. Uchtasini ajrating, qolgan konfiguratsiya deyarli mexanik bo'ladi.

Uch xil manzil, alohida hal qilingan

Tashqi manzil ikki shlyuzning bir-biriga qanday yetib borishi, va ichki trafik ikkala oilani olib yurganda u IPv4 bo'lishi mumkin. Ichki virtual manzil tunnel ichidagi mijozning shaxsiyati, va har bir oilaga o'z hovuzi kerak. Himoyalangan prefikslar mijoz yeta oladigan narsa, va ular tunnelga emas, xizmatlarga tegishli. Uchinchisini ikkinchisi bilan aralashtirish rejalashtirish xatolarining ko'piga sabab bo'ladi, chunki ikkalasi ham xususiy diapazonlarga o'xshaydi.

Faqat IPv4 tashqi transport va ikki qatlamli ichki trafik oddiy va yaxshi qo'llab-quvvatlanadigan tuzilma.

Har birini aniq hal qiling va qarorlarni yozib qo'ying. Agar tashqi yo'l faqat IPv4 bo'lsa, shuni ayting va IPv6 oxirgi nuqtalarining yetib borishi haqida qayg'urishni to'xtating. Agar oila ichkarida ajratilgan bo'lsa-yu, unga hech narsa javob bermasa, uni rejadan olib tashlang yoki bu xizmatlarni chindan ham ikki qatlamli qiling.

Har bir oilada virtual manzil ajrating

swanctl konfiguratsiyasida mijoz virtual manzillarni so'raydi, va har bir oiladagi joker belgi javob beruvchidan har biridan bittadan ajratishni so'raydi. Javob beruvchi ularni hovuzlardan oladi, hovuzlar esa shlyuz ortidagi tarmoqlardan alohida obyektlar. Ularni rejada ham alohida saqlang, chunki xizmat prefiksi bilan kesishadigan hovuz trafik kutilmagan joyga tushguncha to'g'ri ko'rinadigan marshrutlash hosil qiladi.

Ikkalasi kerak bo'lganda ikkala oilani so'rang, kerak bo'lmaganda bittasini, chunki ishlatilmagan manzil foydasiz siyosat yuzasi. Aniq so'rov band qilish emas, so'rov, va javob beruvchi o'z siyosatiga ko'ra boshqa qiymat qaytarishi mumkin. Bu tafsilot manzil xavfsizlik devori qoidasiga yoki kuzatuv tekshiruviga qattiq yozilgan har qanday joyda muhim. Ulanishda hovuzlarga nom bilan murojaat qiling va xizmat tarmoqlarini ulardan tashqarida saqlang.

vips = 0.0.0.0, ::

Qisqa misol qiymatini qabul qilish o'rniga IPv6 hovuzi uchun o'zingizning noyob mahalliy prefiksingizni yarating. Misol sozlamaning shaklini ko'rsatadi, meros olinadigan standart qiymatni emas.

Manzillarni hovuzlardan alohida tavsiflang

Trafik selektorlari har bir tomon nimani almashishni kutishini tavsiflaydi, shuning uchun shlyuzning mahalliy selektorlari mijoz hovuzlarini emas, himoyalangan xizmat prefikslarini nomlashi kerak. Mijozning uzoq selektorlari bu niyatni aks ettiradi. Ikki ro'yxat turli obyektlarni tavsiflasa, tunnel ko'tarilishi mumkin va baribir foydali hech narsa olib yurmaydi.

O'sha prefikslarga shlyuz tarmog'i ichida qaytish yo'llari va ruxsat etilgan uzatish kerak, siz yoqadigan har bir oila uchun.

Bu yerda xususiy IPv6 rejasi yetarli bo'lishni to'xtatadi. Noyob mahalliy manzillash xususiy yetib borishni sotib oladi va ommaviy IPv6 chiqishini yaratmaydi, shuning uchun raqamsiz oila shunchaki IPv4 niqoblash qoidalariga rioya qiladi deb hisoblaydigan loyiha o'z foydalanuvchilarini umidsizlikka soladi. Agar ommaviy IPv6 kirish talabning bir qismi bo'lsa, unga marshrutlangan reja va u bilan rozi bo'lgan yuqori oqim kerak. Aks holda IPv6 tomoni faqat xususiy ekanini aniq ayting, bu yashiriladigan cheklov emas, halol chegara.

DNS va qaytish yo'llarini ataylab qiling

Nomlarni hal qilish transportga ergashmaydi. Hal qiluvchi faqat IPv4 tunneli orqali A va AAAA yozuvlarini qaytarishi mumkin, va mijoz keyin siz hech qachon rejalashtirmagan oilani sinab ko'radi. Qaysi xizmat nomlari foydali ikki qatlamli javoblarni olib yurishi kerakligini hal qiling va ikkala yo'lni ataylab qiling. Ishlaydigan yo'li bo'lmagan oilaga hal bo'ladigan nom toza xato emas, to'xtab qolish hosil qiladi, to'xtab qolishlarni aniqlash ancha qiyin.

Tashqi oxirgi nuqtaning yetib borishini alohida hujjatlashtiring, jumladan NAT o'tishi ishtirok etadimi va u qaysi oiladan foydalanadi.

So'ngra rejani olti satrda yozing: tashqi oxirgi nuqta, IPv4 hovuzi, IPv6 hovuzi, IPv4 xizmat prefiksi, IPv6 xizmat prefiksi va har birining javoblariga ega marshrutizator. Shu shakldagi reja operator tungi soat uchda chindan so'raydigan savollarga javob beradi. Bundan qisqasi ikki qatlamlini faqat IPv4 siyosatiga murvatlangan ikkinchi manzil sifatida qoldiradi, va odatda shunday yarim ishlab qoladi.