Lập kế hoạch truy cập riêng IKEv2 hai ngăn xếp với strongSwan

Một đường hầm hai ngăn xếp không phải là một quyết định mà là ba, và chúng có thể được trả lời khác nhau. Đường hầm bên ngoài chạy trên họ nào, máy khách nhận những họ nào ở bên trong, và các dịch vụ được bảo vệ thực sự trả lời trên những họ nào. Một thiết kế coi chúng là một lựa chọn duy nhất hoặc mang IPv6 không bao giờ cần đến, hoặc phân phát những địa chỉ mà không gì có thể định tuyến ngược lại. Hãy tách ba điều đó ra và phần còn lại của cấu hình trở nên gần như máy móc.

Ba loại địa chỉ, được quyết định riêng

Địa chỉ bên ngoài là cách hai cổng đến được nhau, và nó có thể là IPv4 trong khi lưu lượng bên trong mang cả hai họ. Địa chỉ ảo bên trong là danh tính của máy khách bên trong đường hầm, và mỗi họ cần nhóm riêng của mình. Các tiền tố được bảo vệ là những gì máy khách có thể đến, và chúng thuộc về các dịch vụ chứ không phải đường hầm. Nhầm lẫn cái thứ ba với cái thứ hai gây ra phần lớn lỗi lập kế hoạch, vì cả hai đều trông giống dải riêng.

Vận chuyển bên ngoài chỉ IPv4 với lưu lượng bên trong hai ngăn xếp là một cách sắp xếp bình thường và được hỗ trợ tốt.

Quyết định từng điều một cách rõ ràng và ghi lại các quyết định. Nếu đường bên ngoài chỉ là IPv4, hãy nói như vậy và ngừng lo lắng về khả năng tiếp cận của các điểm cuối IPv6. Nếu một họ được cấp bên trong nhưng không có gì trả lời trên đó, hãy gỡ nó khỏi kế hoạch hoặc làm cho các dịch vụ đó thực sự hai ngăn xếp.

Cấp một địa chỉ ảo trong mỗi họ

Trong cấu hình swanctl, máy khách yêu cầu địa chỉ ảo, và một ký tự đại diện trong mỗi họ yêu cầu bên trả lời cấp một địa chỉ từ mỗi họ. Bên trả lời lấy chúng từ các nhóm, và các nhóm là đối tượng riêng biệt với các mạng phía sau cổng. Hãy giữ chúng riêng trong kế hoạch nữa, vì một nhóm chồng lấn với tiền tố dịch vụ tạo ra định tuyến trông đúng cho đến thời điểm lưu lượng đáp xuống một nơi không mong muốn.

Hãy yêu cầu cả hai họ khi bạn cần cả hai, và một khi bạn không cần, vì một địa chỉ không dùng là bề mặt chính sách không có lợi ích. Một yêu cầu cụ thể là yêu cầu chứ không phải đặt trước, và bên trả lời có thể trả về một giá trị khác theo chính sách của mình. Chi tiết đó quan trọng ở mọi nơi mà địa chỉ được mã hóa cứng trong một quy tắc tường lửa hoặc một kiểm tra giám sát. Tham chiếu các nhóm theo tên trong kết nối và giữ các mạng dịch vụ bên ngoài chúng.

vips = 0.0.0.0, ::

Hãy tạo tiền tố cục bộ duy nhất của riêng bạn cho nhóm IPv6 thay vì chấp nhận một giá trị ví dụ ngắn. Ví dụ cho thấy hình dạng của thiết lập, không phải giá trị mặc định để kế thừa.

Mô tả đích đến tách khỏi các nhóm

Các bộ chọn lưu lượng mô tả những gì mỗi bên mong đợi trao đổi, vì vậy các bộ chọn cục bộ của cổng nên nêu tên các tiền tố dịch vụ được bảo vệ chứ không phải nhóm máy khách. Các bộ chọn từ xa của máy khách phản ánh ý định đó. Khi hai danh sách mô tả các đối tượng khác nhau, đường hầm có thể dựng lên và vẫn không mang gì hữu ích.

Chính các tiền tố đó cần tuyến quay về và chuyển tiếp được phép bên trong mạng của cổng, cho mỗi họ mà bạn kích hoạt.

Đây là nơi một kế hoạch IPv6 riêng không còn đủ. Địa chỉ cục bộ duy nhất mua khả năng tiếp cận riêng và không tạo ra lối ra IPv6 công cộng, vì vậy một thiết kế giả định rằng họ không có số sẽ chỉ tuân theo các quy tắc che giấu IPv4 sẽ làm người dùng thất vọng. Nếu truy cập IPv6 công cộng là một phần của yêu cầu, nó cần một kế hoạch được định tuyến và một nguồn thượng lưu đồng ý với điều đó. Nếu không, hãy nói rõ rằng phía IPv6 chỉ là riêng tư, đó là một ranh giới trung thực chứ không phải một hạn chế cần che giấu.

Hãy làm DNS và các đường quay về có chủ đích

Phân giải tên không theo vận chuyển. Một bộ phân giải có thể trả về bản ghi A và AAAA qua một đường hầm chỉ IPv4, và máy khách sẽ thử một họ mà bạn chưa bao giờ lập kế hoạch. Hãy quyết định tên dịch vụ nào nên mang câu trả lời hai ngăn xếp dùng được và làm cả hai đường đó có chủ đích. Một tên phân giải đến một họ không có đường hoạt động tạo ra sự đình trệ thay vì một lỗi sạch, và đình trệ khó chẩn đoán hơn nhiều.

Hãy ghi lại khả năng tiếp cận của điểm cuối bên ngoài riêng, bao gồm việc có bất kỳ chuyển tiếp NAT nào tham gia hay không và nó dùng họ nào.

Sau đó viết kế hoạch thành sáu dòng: điểm cuối bên ngoài, nhóm IPv4, nhóm IPv6, tiền tố dịch vụ IPv4, tiền tố dịch vụ IPv6, và bộ định tuyến sở hữu câu trả lời cho từng mục. Một kế hoạch có hình dạng đó trả lời những câu hỏi mà một người vận hành thực sự đặt ra lúc ba giờ sáng. Bất cứ điều gì ngắn hơn đều để hai ngăn xếp như một địa chỉ thứ hai bắt vít vào một chính sách chỉ IPv4, và đó là cách nó thường kết thúc hoạt động được một nửa.