لماذا يفشل اكتشاف الجيران في IPv6 عبر شبكة VPN موجَّهة

اكتشاف الجيران في IPv6 ينتمي إلى رابط واحد، والنفق الموجَّه هو حدّ بين رابطين. تلك الجملة الواحدة تفسّر تقريبًا كل تقرير عن مضيف بعيد يستجيب عبر عنوانه ولا يمكن العثور عليه بأي وسيلة أخرى. تحقّق من نطاق العنوان الذي تختبره قبل أن تتحقّق من النفق. العنوان المحلي للرابط لا معنى له إلا على رابطه، ومجموعة البث المتعدد للعقدة المطلوبة محدودة النطاق بالطريقة نفسها. لا يعبر أي منهما موجّهًا، ولهذا قد ينجح ping إلى عنوان عام بينما يفشل الاكتشاف للمضيف نفسه.

النطاق قبل التهيئة

تحمل رسالة طلب الجار وإعلان الجار حدًّا للقفزات مقداره 255 ولا تُمرَّر، بحكم التصميم. الموجّه الواقع بين نفقك والشبكة المحلية البعيدة يمرّر حزم IPv6 ولا ينقل رسائل الجار نيابة عنها. لذلك تحتوي ذاكرة الجيران المؤقتة على واجهة النفق على النظير ولا شيء تقريبًا غيره، وهذا سلوك صحيح وليس عيبًا يجب إصلاحه.

العنوان المحلي للرابط مثل مدخل fe80:: محدود النطاق أيضًا، والنص نفسه قد يدل على مضيف مختلف على رابط مختلف. اختبار عنوان كهذا من الجانب الآخر للنفق لا يثبت شيئًا سوى أن العنوان ملتبس.

الفخ هو افتراض أن البادئة على الرابط

المضيف الذي يعتقد أن بادئة ما موجودة على الرابط يرسل طلب جار بدلًا من تسليم الحزمة إلى موجّهه، وهذا يشمل بادئة /64 موجَّهة إلى موقع بعيد. عندما تصل بادئة كهذه على أنها على الرابط، يسأل المضيف الرابط المحلي عن مضيف يقيم في مكان آخر، فلا يجيب شيء. وجّه شيئًا أصغر إلى المضيف البعيد، أو أنهِ البادئة عند الموجّه الذي سيجيب نيابة عنها.

بادئة /128 لخدمة واحدة هي الترتيب الأقل مفاجأة، وهي تزيل الالتباس تمامًا. تصف مواصفة اكتشاف الجيران مجموعة الرسائل وعلم «على الرابط» الذي يحسم الأمر.

الجسر يغيّر القواعد عن قصد

عندما ينقل النفق إطارات Ethernet، يصبح المقطعان البعيد والمحلي رابطًا واحدًا، ويصل البث المتعدد إلى الجانبين، ويتصرف اكتشاف الجيران كما لو كان على مبدّل. وتأتي العواقب معه: إغراق البث العام والبث المتعدد، وكشف العناوين المكررة عبر الجسر، وإعلانات الموجّه التي تتسرّب إلى مقطع لا ينبغي أن يراها. كما أن نطاق الفشل يمتد الآن إلى موقعين. لا شيء من ذلك يجادل ضد الجسر، وكل نقطة سبب لبناء الجسر عن قصد لا بالمناسبة.

تغيير ملف تعريف من TUN إلى TAP لإظهار الاكتشاف هو ترتيب العمليات الخاطئ. يجب أن يتفق الخادم والعميل وخطة العنونة، ولا تقدّم العملاء المحمولون واجهة TAP إطلاقًا، لذا يعمل تصميم كهذا على حاسوب محمول ويفشل على هاتف. وكلاء الجيران والمرحّلات آليات منفصلة لها متطلباتها، وهي تنتمي إلى ترتيب موثّق لدى مسؤول الشبكة لا إلى إعدادات تطبيق.

اختبر بالعنوان الذي يستخدمه التطبيق

أكّد المسار باستخدام ip -6 route get، وافحص مدخل الجار باستخدام ip -6 neigh، ثم أكّد الخدمة عبر المسار الموجَّه. DNS ومسار العودة فحصان منفصلان، ومدخل جار سليم لا يثبت أيًّا منهما.

إذا أصرّ التطبيق على وجهة محلية للرابط أو قائمة على الاكتشاف، فذلك حوار تصميم لا تمرين ضبط، لأنه لا يوجد إعداد عميل يجعل آلية محدودة النطاق بالرابط تعمل عبر موجّه.

دوّن أي التصميمين لديك

سجّل ما إذا كان التصميم موجَّهًا أو مجسورًا قبل وقوع الحادث، لأن النشرين يجيبان عن هذه الأسئلة بشكل مختلف ولا ينبغي لمهندس المناوبة أن يستنتجه من ملف تعريف.

قراءة مجموعة الرسائل مرة واحدة تُزيل إغراء تفسير خاصية محلية للرابط كخلل في VPN، وهو أغلى تشخيص خاطئ في هذا المجال.