/64-ü bölmək IPv6-nı VPN müştərilərinə yönləndirmir

Müştəri qlobal IPv6 ünvanı göstərir, əl sıxma tamamlanıb və internetdən heç nə qayıtmır. Hovuz parametri düzgün görünür, çünki o, həqiqətən düzgündür; ünvan etibarlıdır və tunel onu daşıyır. Uğursuz olan çatdırmadır və çatdırma VPN serverindən yuxarıda verilən qərardan asılıdır ki, heç bir müştəri tərəfi konfiqurasiyası ona təsir edə bilməz.

Mif: /64-ünüzün bir hissəsi artıq əlçatandır

Hekayə cəlbedicidir: serverin ictimai /64-ü var, onu yarıya bölün, digər yarısını VPN hovuzuna verin və həmin müştərilər artıq internetdədir. Prefiksi bölmək toqquşma olmadan ünvanlar ayırır. Lakin yuxarı şəbəkənin həmin ünvanlardan birinə gedən paketin haraya getməli olduğuna dair qərarını dəyişmir.

IPv6-nın arxasına söykənə biləcəyi defolt tərcümə qatı yoxdur, ona görə qayıdış yolu ya marşrutlaşdırma, ya da keçid səviyyəsində çatdırma kimi mövcud olmalıdır. Müştərinin tunel ünvanına ünvanlanmış paket yuxarı marşrutlaşdırıcıya çatır və həmin marşrutlaşdırıcı öz cədvəlindən yönləndirmə qərarı verir. Əgər cədvəl fiziki keçidə işarə edirsə, paket VPN serverinizin nə düşünməsindən asılı olmayaraq oraya gedir.

Bütün uğursuzluq budur: irəli istiqamət işləyir, çünki onu serveriniz göndərir, əks istiqamət isə bir hop uzaqda ölür, çünki yuxarı şəbəkə müştərinin mövcudluğunu heç vaxt öyrənməyib.

Keçid üzərində çatdırma əslində nə tələb edir

Yuxarı şəbəkə bütün /64-ü fiziki keçiddə hesab etdikdə, hər təyinat ünvanını qonşu aşkarlaması ilə həll edir. Həmin keçiddə sorğu göndərir və ünvanın sahibindən cavab gözləyir. Tunelin arxasında oturan VPN müştərisi həmin keçiddə deyil və cavab verə bilməz, ona görə sorğu cavabsız qalır və paket atılır.

/65 ayırmaq bu gözləntini dəyişmir. Yuxarı şəbəkə diapazonu yenə keçid üzərində hesab edir, çünki fikrini yalnız müştəri adından cavab verən marşrut və ya proksi dəyişə bilər. Heç biri görünmür, çünki siz VPN konfiqurasiyasını redaktə etdiniz. Məhz bu boşluq səbəbindən hovuz öz müştəriləri arasında mükəmməl işləyə, lakin başqa yerdən əlçatmaz qala bilər.

Proksi qonşu aşkarlaması iki dünyanı birləşdirə bilən mexanizmdir. Şlüz sahib olduğu konkret müştəri ünvanları üçün sorğuları cavablandırır və trafiki tunelə ötürür. Bu işləyir və hovuzu izləyən həyat dövrü ilə tam həmin ünvanlarla məhdudlaşdırılmalıdır, çünki artıq xidmət göstərmədiyiniz ünvan üçün cavab vermək başqasının trafikini qara dəliyə çevirir. Bəzi yuxarı şəbəkələr gözləmədikləri proksi cavablarını qəbul etməyəcək, ona görə bu dizayn provayderin razılığını da tələb edir.

Marşrutlaşdırılmış çatdırma nə tələb edir

Daha təmiz dizayn yuxarı şəbəkənin həqiqətən şlüzünüzə yönləndirdiyi ayrımdır. Bu, delegasiya edilmiş prefiks və ya daha kiçik blok üçün statik marşrut ola bilər və tələb hər iki halda eynidir: yuxarı şəbəkənin cədvəli müştəri diapazonu üçün serverinizə işarə etməlidir. Sonra qayıdış trafiki şlüzə çatır və şlüz onu tunelə ötürür.

Marşrutlaşdırılmış çatdırma qonşu aşkarlaması sualını tamamilə aradan qaldırır, buna görə hər hansı ağıllı şey qurmazdan əvvəl bunu provayderdən xahiş etməyə dəyər. Marşrutu yazılı şəkildə istəyin və növbəti hopun yuxarı şəbəkənin həqiqətən çata bildiyi ünvan olduğunu təsdiqləyin.

Hər iki dizayn hələ də şlüzdə IPv6 yönləndirməsinin aktivləşdirilməsini və yönləndirilmiş axına hər iki istiqamətdə icazə verən firewall qaydalarını tələb edir. Çatdırma yolun qalan hissəsi üçün ilkin şərtdir, əvəz deyil. Yönləndirmə söndürülmüş işlək marşrut, itkin marşrutla tam eyni sükutu yaradır, ona görə hər hansı yenidən dizayndan əvvəl hər ikisini yoxlayın.

Düzgün qurulmalı iki müstəqil marşrut

Hovuz prefiksi və müştərinin öz defolt marşrutu ayrı parametrlərdir və onları qarışdırmaq qırıq tunelə bənzəyən qismən bağlantı yaradır. Hovuz serverə hansı ünvanların veriləcəyini deyir. Müştərinin marşrutları müştərinin hansı təyinatları ümumiyyətlə tunelə göndərdiyini müəyyən edir.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

Yuxarıdakı prefiks sənədləşdirmə məkanıdır və yönləndirmə yalnız IPv6-ya aiddir ki, bu da iki yığımlı yerləşdirmənin IPv6 çatdırması hələ düzəldilərkən tez-tez istədiyi şeydir. IPv4 yönləndirməsi IPv6 əhatəsini yaratmır və heç bir parametr digərini nəzərdə tutmur.

IPv6-nın asılı olduğu idarəetmə trafikini tətbiq etdiyiniz hansı siyasət olursa olsun işlək saxlayın. Packet Too Big mesajları yalnız TCP və UDP-yə icazə verən firewall-un klassik qurbanıdır və onların atılması qurulan, sonra daha böyük ötürmələrdə dayanan bağlantılar yaradır.

Marşrutlaşdırıcı reklamları üçüncü hərəkət edən hissədir. Şlüz yuxarı keçiddə reklam verməyə başlasa, müştərilərin və qonşuların keçid üzərindəki prefikslər haqqında inancını dəyişə bilər ki, bu da indicə sənədləşdirdiyiniz dizaynı səssizcə ləğv edə bilər.

Dizaynı elə qeyd edin ki, yenidən qurma onu təkrar etsin

Üç obyekti ayrı-ayrılıqda yazın: müştəri ayrımı, müştərinin təyinat marşrutu və yuxarı şəbəkənin ayrım üçün çatdırma üsulu. Hər üçünə sahib oxucu yerləşdirməni yenidən qura bilər; yalnız hovuz parametrinə sahib oxucu ilkin xətanı təkrar edəcək.

Sonra əks istiqaməti açıq şəkildə sınaqdan keçirin, xaricdən qayıtmalı olan bir paketlə. openvpn(8) təlimatı server-ipv6 və redirect seçimlərini əhatə edir, provayderinizin marşrut təsdiqi isə təlimatın əhatə edə bilmədiyi yarısını əhatə edir.