strongSwan vips: yêu cầu IKEv2 cấp địa chỉ ảo

Máy khách IKEv2 của bạn có thể yêu cầu cổng cấp một địa chỉ bên trong, và cổng quyết định trả lại gì. Trong strongSwan, yêu cầu đó là thiết lập vips, và nó vẫn là một yêu cầu ngay cả khi bạn ghi vào đó một địa chỉ cụ thể. Hướng dẫn dưới đây cấu hình yêu cầu, nạp nó và đọc những gì quay về, vì ba bước đó thất bại theo ba cách khác nhau. Không bước nào ngắn lại nhờ gõ mạnh hơn.

vips yêu cầu gì và không thể bảo đảm điều gì

vips thuộc một định nghĩa kết nối và yêu cầu bên trả lời một địa chỉ ảo. Hướng dẫn địa chỉ ảo của strongSwan nói rõ rằng câu trả lời có thể là một địa chỉ khác, hoặc không có gì cả, và đó chính là câu mà người ta bỏ qua khi ghi một giá trị và mong nó xuất hiện. Yêu cầu vẫn đáng làm, vì thứ bạn kiểm tra chính là câu trả lời. Hãy coi thiết lập này như một chỉ dẫn để hỏi, không phải cấu hình của kết quả.

Yêu cầu 0.0.0.0 là yêu cầu bất kỳ địa chỉ IPv4 ảo nào còn trống, thường đúng khi giá trị chính xác không quan trọng. Yêu cầu một địa chỉ cụ thể là gợi ý cho cổng, không phải đòi hỏi đối với cổng.

Đoạn swanctl và vị trí của nó

Thiết lập nằm trong khối kết nối, không phải trong tệp riêng và không phải trong hồ sơ hệ điều hành. Đoạn tách riêng này cho thấy hình dạng:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

Nạp nó bằng tệp sở hữu kết nối, rồi khởi động kết nối và đọc kết quả. Một đoạn dán vào sai phần sẽ tạo lỗi phân tích, hoặc tệ hơn, một kết nối được nạp mà không có yêu cầu mà bạn tưởng mình đã làm. Chạy ba lệnh theo thứ tự và giữ lại đầu ra.

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts chọn lưu lượng, nó không tạo địa chỉ

local_ts đặt tên cho tập lưu lượng mà SA con bảo vệ; nó không đặt địa chỉ lên giao diện. Khi một IP ảo được thương lượng, strongSwan ngừng dùng bộ chọn động mặc định và thay vào đó dùng địa chỉ được cấp. Nếu bạn ghim bộ chọn vào một địa chỉ nguyên văn, bạn đang khẳng định điều mà cổng có thể đã không cấp, và đó là lý do sự cố hiện ra như một SA đang chạy với lưu lượng đi vào ngõ cụt. Bộ chọn mô tả lưu lượng, còn việc gán đến từ lần trao đổi kia.

Cách khác để có một địa chỉ bên trong ổn định là sở hữu nó cục bộ. Đặt địa chỉ lên giao diện trước khi đường hầm dựng lên, hướng bộ chọn vào thứ đã tồn tại, và sắp xếp đối tác cùng tuyến đường quanh nó.

Trong thiết kế đó không có gì được thương lượng, nên không gì có thể bị gán lại, và đó là sự đánh đổi: tính tất định để đổi lấy việc tự làm công việc đánh địa chỉ. Đây là cơ chế khác, không phải biến thể của vips, nên hai thứ không nên trộn trong một kết nối. Một bộ chọn ghim cạnh một địa chỉ đã thương lượng là kết nối chạy được cho đến khi cổng phát một thứ khác.

Kiểm tra xem bên trả lời thực sự đã gán gì

Đọc danh sách SA để tìm địa chỉ mà cổng đã cấp, rồi xác nhận địa chỉ đó tồn tại trên giao diện. Nếu hai bên không khớp, đường hầm đang lên và lưu lượng không đi tới nơi bạn nghĩ. Một địa chỉ được cấp mà không bao giờ tới giao diện là sự cố khó hiểu nhất trong chuỗi này, vì mỗi nửa trông đúng khi đứng riêng.

Giữ bốn địa chỉ tách biệt trong ghi chú: địa chỉ bên trong đã yêu cầu, địa chỉ được cấp, địa chỉ LAN của máy, và lối ra công cộng mà một trang web báo cáo. Chúng thuộc các tầng khác nhau và xuất hiện ở những nơi khác nhau. Một hướng dẫn ghi lại cả bốn là thứ người khác có thể theo mà không phải hỏi bạn muốn nói địa chỉ nào. Đọc lại chúng sau mỗi lần nạp lại, vì giá trị được cấp là thứ duy nhất mô tả đường hầm đang sống.

Giữ thiết kế tĩnh riêng

Nếu cần một địa chỉ bên trong cố định, hãy sắp xếp việc đặt trước trên cổng và để yêu cầu của máy khách vẫn là yêu cầu. Trộn một bộ chọn ghim với một địa chỉ đã thương lượng cho ra kết nối chạy được cho đến khi cổng gán thứ khác. Ghi quy tắc đặt trước bên cạnh kết nối, vì đó là phần mà đồng nghiệp không thể suy ra từ tệp cấu hình. Khi đó máy khách mới thừa hưởng quy tắc thay vì khám phá lại.

Trên máy khách Mac tích hợp, không có tên tùy chọn nào trong số này. Dùng bất kỳ việc gán hay đặt trước nào mà cổng cung cấp và hồ sơ mà nhà vận hành công bố, và coi mọi giá trị phía máy khách là gợi ý cho tới khi bạn đọc lại việc gán. Hoàn tác là gỡ dòng vips và nạp lại, việc này đưa bạn về đúng những gì cổng gán theo mặc định.