IPv6-takvoorvoegsel: iroute-ipv6 of route-ipv6 op die bediener?

Twee richtlyne met byna dieselfde naam verskyn in elke werkende voorbeeld, en om een sonder die ander te kopieer lewer 'n tonnel wat korrek lyk en die takvoorvoegsel stilweg laat val. Hulle doen verskillende take aan verskillende kante van dieselfde grens: een leer die bediener se kern waar 'n voorvoegsel woon, en die ander leer OpenVPN watter geauthentiseerde kliënt dit dra. Kry albei reg en die voorvoegsel vloei; kry een reg en die pakkette het 'n roete maar geen eienaar nie.

Twee richtlyne, twee verskillende take

route-ipv6 is 'n gewone roete-installasie: die bediener voeg 'n kernroete by wat die voorvoegsel na sy tonnelkoppelvlak wys. iroute-ipv6 hoort by 'n kliëntspesifieke konteks en verklaar interne eienaarskap, sodat die daemon weet dat verkeer vir daardie voorvoegsel na 'n bepaalde kliënt gestuur moet word eerder as na watter eweknie 'n kernroete ook al noem.

Een gaan oor die kern se aanstuurtafel, die ander oor die daemon se interne roetemodel. Om hulle apart te hou verduidelik waarom 'n konfigurasie wat volledig lyk steeds die voorvoegsel kan laat val. Dit verduidelik ook waarom dieselfde netwerk twee keer in elke werkende voorbeeld verskyn. Nie een van die twee reëls is oorbodig nie.

In die tradisionele gebruikerspas-opstelling is albei nodig en hulle vul mekaar aan. 'n Kernroete alleen laat die daemon nie in staat om 'n eweknie te kies nie. 'n iroute alleen laat die kern sonder 'n pad na die tonnel. Dit is ook waar die meeste verwarring oor per-kliënt-lêers vandaan kom: die lêer is nie 'n roetetafel-inskrywing nie, en die roete-inskrywing is nie 'n eienaarskapverklaring nie.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Waar elkeen hoort

Die roete gaan in die bediener se bestuurde konfigurasie, waar dit op daardie bedienerproses van toepassing is. Die iroute gaan in die kliëntspesifieke lêer wat na die geauthentiseerde identiteit van die taktoestel vernoem is.

'n Lêernaam wat nie met die effektiewe identiteit ooreenstem nie, word nooit gelees nie, en die simptoom is identies aan 'n ontbrekende iroute. Kontroleer die identiteit wat die bediener geauthentiseer het, en kontroleer dan die lêernaam karakter vir karakter.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Hou die poel en die takvoorvoegsel apart, want om hulle te laat oorvleuel skep 'n raaisel wat geen richtlyn kan oplos nie.

Wat 'n ander kliënt nodig het

'n Tweede kliënt wat daardie tak moet bereik, het 'n aankondiging nodig, nie eienaarskap nie. Stuur die voorvoegsel na die kliënte wat jy bedoel, in die kliënt- of groepkonteks wat by jou konfigurasie pas.

Moenie dit na die tak self stuur nie, want daardie toestel het die voorvoegsel reeds as 'n gekoppelde netwerk.

Om dit na almal te stuur is 'n keuse met gevolge: elke kliënt glo dan dat die tak deur die tonnel bereikbaar is, insluitend kliënte aan wie jy nooit daardie toegang wou gee nie. Aankondiging is in die praktyk 'n toegangsbesluit, al lyk die richtlyn na loodgieterswerk. Die verwysing na bedieneropsies dokumenteer iroute-ipv6 as kliëntspesifieke eienaarskap, en dit is die onderskeid wat die moeite werd is om te behou.

Die terugpad op die taktoestel

Eienaarskap help net as die tak pakkette aanstuur en sy LAN weet hoe om te antwoord. Aktiveer IPv6-aansturing op die taktoestel, en bevestig dat gashere op sy LAN verkeer vir die VPN-poel terug na die tak stuur eerder as na 'n verstekroete wat nie die poel ken nie.

Daardie terugpad is die IPv6-ekwivalent van die ontbrekende-roete-probleem wat mense met IPv4 raakloop.

Kontroleer dit vanaf 'n LAN-gasheer met 'n opsoeking vir die VPN-poeladres, nie vanaf die tak self nie. 'n Opsoeking op die roeteerder beantwoord 'n ander vraag as die een wat jou gebruikers vra, en die twee stem dikwels genoeg nie ooreen om die ekstra opdrag die moeite werd te maak nie.

Wanneer die paar nog nie genoeg is nie

Sommige ontplooiings gebruik glad nie hierdie pad nie. Die kern-datapad en produkbestuurde bedieners het hul eie ondersteunde roetehantering, en 'n gebruikerspas-voorbeeld vertaal dalk nie direk nie.

Bevestig watter datapad jou bou gebruik voordat jy richtlyne uit 'n handleiding vir die ander een kopieer.

Onthou laastens die adresomvang: 'n unieke plaaslike voorvoegsel soos fd00:7a::/64 is by ontwerp privaat en sê niks oor openbare IPv6-bereikbaarheid nie. Behandel dit as interne toegang, en hou internetuitgang 'n aparte vraag met sy eie beleid.