OpenVZ の IPSec で複数の IP アドレスを使用する (venet0 の 127.0.0.2 を使用)

Question 1

明記されていませんが、抜粋から推測すると、ifconfig -aハードウェアノード (HN) ではなく OpenVZ VE 内で ipsec を実行していると考えられます。念のため、そちらのも確認しましたか?おすすめそのような設定のためですか?
OpenVZ の VE テンプレートは、時々本当に驚くことがあります。開発者に、なぜループバック以外のインターフェイスで 127/8 の範囲の IP を使用する必要があるのか尋ねたところ、彼らの答えは「まあ、私たちにはわかりません。誰かが追加したので、今はレガシーになっています」でした。まったくのナンセンスです。問題のインターフェイスからこの 127.0.0.2 の「kludge」を安全に削除できます。何もしません: ip ad del 127.0.0.2/32 dev venet0。ただし、問題は、VE を再起動するたびに、このばかげたナンセンスが再度追加されることです。ハードウェアノードを制御している場合は、ネットワーク構成を含む「kludge」をトリガーしないテンプレートを設定できます。制御していない場合は、回避策として、この「ip ad del」を次のように入力して/etc/rc.local、ipsec を再起動します。

Answer

明記されていませんが、抜粋から推測すると、ifconfig -aハードウェアノード (HN) ではなく OpenVZ VE 内で ipsec を実行していると考えられます。念のため、そちらのも確認しましたか?おすすめそのような設定のためですか?
OpenVZ の VE テンプレートは、時々本当に驚くことがあります。開発者に、なぜループバック以外のインターフェイスで 127/8 の範囲の IP を使用する必要があるのか尋ねたところ、彼らの答えは「まあ、私たちにはわかりません。誰かが追加したので、今はレガシーになっています」でした。まったくのナンセンスです。問題のインターフェイスからこの 127.0.0.2 の「kludge」を安全に削除できます。何もしません: ip ad del 127.0.0.2/32 dev venet0。ただし、問題は、VE を再起動するたびに、このばかげたナンセンスが再度追加されることです。ハードウェアノードを制御している場合は、ネットワーク構成を含む「kludge」をトリガーしないテンプレートを設定できます。制御していない場合は、回避策として、この「ip ad del」を次のように入力して/etc/rc.local、ipsec を再起動します。

Question 2

からhttps://lists.openswan.org/pipermail/users/2010-June/018901.html

Openswan が起動すると、br0 インターフェースの最初の IP アドレスを選択して、選択内容を通知するようです。今後間違った選択をした場合、どのインターフェースのどの IP アドレスかを明確に伝えるにはどうすればよいでしょうか。それとも、これは単なる開始通知であり、心配する必要はありませんか。

起動時に設定されたすべてのアドレスにバインドします。後でアドレスが追加された場合、現時点では、pluto に「ipsec whack --listen」を使用してこれらのアドレスを再バインドするように指示する必要があります。

ipsec_setup: 複数の IP アドレス、br0 の 10.0.0.10 を使用

メッセージは少しわかりにくいです。応答時にパケットを受信した IP アドレスを「使用」し、「%defaultroute」を使用する場合は、開始時に「最も近い」 IP アドレスを使用します。conn で指定されている場合は、ip または解決されたホスト名 ip を使用します。

起動時に OpenVZ インターフェイスが存在しないため、自動的にバインドされない可能性があります。

さらに、ファイルを編集し、セクションのまたはディレクティブ/etc/ipsec.confを使用して正しい XX.XX.XX.XX または interface venet0:X 仕様を追加することで、1 つの IP のみをリッスンするように強制することもできます。listen=XX.XX.XX.XXinterface=venet0:Xconfig setup

ipsec.conf は、

Answer