IPv6 filial prefiksi: serverdə iroute-ipv6 yoxsa route-ipv6?

Adları demək olar eyni olan iki direktiv hər işləyən nümunədə görünür və birini digərsiz köçürmək düzgün görünən, lakin filial prefiksini səssizcə itirən tunel yaradır. Onlar eyni sərhədin müxtəlif tərəflərində fərqli iş görür: biri server nüvəsinə prefiksin harada yaşadığını öyrədir, digəri isə OpenVPN hansı təsdiqlənmiş müştərinin onu daşıdığını öyrədir. İkisi də düzdürsə, prefiks axır; biri düzdürsə, paketlərin marşrutu var, amma sahibi yoxdur.

İki direktiv, iki fərqli iş

route-ipv6 — adi marşrut quraşdırmasıdır: server prefiksi öz tunel interfeysinə yönəldən nüvə marşrutu əlavə edir. iroute-ipv6 konkret müştəri kontekstinə aiddir və daxili mülkiyyəti elan edir, beləliklə daemon bu prefiks üçün trafikin nüvə marşrutunun təsadüfən adlandırdığı peer-ə deyil, müəyyən müştəriyə göndərilməli olduğunu bilir.

Biri nüvənin ötürmə cədvəlinə, digəri daemonun daxili marşrutlaşdırma modelinə aiddir. Onları ayrı saxlamaq tam görünən konfiqurasiyanın niyə hələ də prefiksi itirə biləcəyini izah edir. Bu həmçinin eyni şəbəkənin hər işləyən nümunədə niyə iki dəfə göründüyünü izah edir. İki sətrin heç biri artıq deyil.

Ənənəvi userspace quruluşunda ikisi də lazımdır və bir-birini tamamlayır. Tək nüvə marşrutu daemonu peer seçə bilməyən vəziyyətdə qoyur. Tək iroute nüvəni tunelə gedən yolsuz qoyur. Ayrı müştəri faylları ilə bağlı qarışıqlığın çoxu buradan gəlir: fayl marşrut cədvəlinin yazısı deyil, marşrut yazısı isə mülkiyyət bəyanatı deyil.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Hansı hara aiddir

Marşrut serverin idarə olunan konfiqurasiyasına düşür, orada o, həmin server prosesinə aiddir. iroute müştəriyə xas fayla düşür, o, filial cihazının təsdiqlənmiş şəxsiyyətinin adı ilə adlanır.

Faktiki şəxsiyyətə uyğun gəlməyən fayl adı heç vaxt oxunmur və simptom çatışmayan iroute ilə eynidir. Serverin təsdiqlədiyi şəxsiyyəti yoxlayın, sonra fayl adını hərf-hərf yoxlayın.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Pool ilə filial prefiksini ayrı saxlayın, çünki onların üst-üstə düşməsi heç bir direktivin həll edə bilməyəcəyi tapmaca yaradır.

Başqa müştəriyə nə lazımdır

Həmin filiala çatmalı olan ikinci müştəriyə mülkiyyət deyil, elan lazımdır. Prefiksi nəzərdə tutduğunuz müştərilərə konfiqurasiyanıza uyğun müştəri və ya qrup kontekstində göndərin.

Onu filialın özünə göndərməyin, çünki bu cihazda prefiks artıq qoşulmuş şəbəkə kimi var.

Onu hamıya göndərmək — nəticələri olan seçimdir: o zaman hər müştəri filialın tunel vasitəsilə əlçatan olduğuna inanır, o cümlədən bu icazəni heç vaxt vermək istəmədiyiniz müştərilər də. Elan praktikada giriş qərarıdır, baxmayaraq ki, direktiv santexnika işinə bənzəyir. server parametrləri arayışı iroute-ipv6-ni müştəriyə xas mülkiyyət kimi sənədləşdirir və məhz bu fərqi saxlamağa dəyər.

Filial cihazında qayıdış yolu

Mülkiyyət yalnız filial paketləri ötürəndə və onun LAN-ı necə cavab verməyi biləndə kömək edir. Filial cihazında IPv6 ötürməsini yandırın və onun LAN-ındakı hostların VPN pool üçün trafiki pool-u bilməyən standart marşruta deyil, filiala tərəf qaytardığını təsdiqləyin.

O qayıdış yolu — insanların IPv4 ilə üzləşdiyi itkin marşrut probleminin IPv6 ekvivalentidir.

Onu filialın özündən deyil, LAN hostundan VPN pool ünvanını sorğulamaqla yoxlayın. Marşrutlaşdırıcıdakı sorğu istifadəçilərinizin verdiyi sualdan başqa suala cavab verir və ikisi əlavə əmrin dəyəcəyi qədər tez-tez uyuşmur.

Cüt hələ kifayət etmirsə

Bəzi yerləşdirmələr bu yoldan heç istifadə etmir. Nüvə məlumat yolu və məhsul tərəfindən idarə olunan serverlər öz dəstəklənən marşrut emalına malikdir və userspace nümunəsi birbaşa keçməyə bilər.

Direktivləri digəri üçün yazılmış təlimatdan köçürməzdən əvvəl quruluşunuzun hansı məlumat yolundan istifadə etdiyini təsdiqləyin.

Və nəhayət, ünvan dairəsini yadda saxlayın: unikal yerli prefiks kimi fd00:7a::/64 dizaynına görə özəldir və ictimai IPv6 əlçatanlığı haqqında heç nə demir. Onu daxili giriş kimi qəbul edin və internetə çıxışı öz siyasəti olan ayrı məsələ kimi saxlayın.