IPv6 праз VPN: дэлегаваны прэфікс — гэта не пул адрасоў

У адзін дзень прыходзяць два запыты: ноўтбуку патрэбны IPv6 праз тунель, а невялікая пляцоўка хоча IPv6 для прылад за сваім маршрутызатарам. Абодва атрымліваюць адказ у выглядзе адраса, і другі потым тыдзень правальваецца. Ролі розныя, як і механізмы, канфігурацыя і праверка, што даказвае працу. Гэта кіраўніцтва трымае іх асобна.

Крок першы: вызначце, якой ролі вы служыце

Адзіночны хост мае патрэбу ў адным адрасе на тунельным інтэрфейсе, з маршрутам на далёкі бок і без нічога ўнізе, што трэба было б нумараваць. Маршрутызатар за тунелем мае патрэбу ў цэлай сетцы, якую ён можа раздаваць, плюс маршрут на далёкім баку, які вяртае гэтыя адрасы да яго. Тое, што знаходзіцца за тунелем, вызначае кожнае наступнае рашэнне.

Адкажыце на гэта пытанне, перш чым адкрываць любую канфігурацыю. Усё пасля гэтага кроку залежыць ад таго, які адказ вы далі.

Крок другі: прызначэнне адрасоў для адзіночнага хоста

Прызначце адрас тунеля, пацвердзіце даўжыню прэфікса, якую чакае прадукт, і праверце, што кліент усталёўвае маршрут для далёкага дыяпазону, а не адпраўляе яго на лакальны шлюз па змаўчанні. /128 на тунельным інтэрфейсе — гэта норма для кропка-кропкавага злучэння, а /64 там прэтэндуе на сетку, якую ніхто не дэлегаваў. Два вывады вырашаюць пытанне: табліца адрасоў і табліца маршрутаў, прачытаныя з абодвух бакоў. Чытайце іх разам, бо маршрут, накіраваны на няправільны інтэрфейс, — самая распаўсюджаная памылка на гэтым кроку.

Праверце па табліцах адрасоў і маршрутаў з абодвух бакоў, затым адпраўце адзін запыт. Калі запыт сыходзіць правільна, а нічога не вяртаецца, няспраўнасць у маршруце далёкага боку, а не ў адрасе кліента.

Крок трэці: дэлегаванне для маршрутызатара за тунелем

Дэлегаванне прэфікса — асобны механізм ад прызначэння адрасоў, са сваім запытам і сваёй арэндай. Дэлегавальны бок павінен быць наладжаны так, каб выдаваць прэфікс, дастатковы для ніжэйшай сеткі, а запытвальны маршрутызатар павінен нумараваць свой унутраны інтэрфейс з гэтага прэфікса.

Не мяркуйце, што пул, які абслугоўвае мабільных кліентаў, можа дэлегаваць. Многія VPN-прадукты прызначаюць адзіночныя адрасы і зусім не маюць ролі дэлегавання, а прэфікс правайдэра, які прыходзіць на ваш край, не перадаецца аўтаматычна партнёру. Запішыце, якую ролю абслугоўвае кожны пул, бо два наладжваюцца ў розных месцах.

Крок чацвёрты: зрабіце зваротны маршрут відавочным

Абодва бакі павінны дамовіцца, які партнёр нясе які прэфікс. На далёкім баку дадайце маршрут для дэлегаванай сеткі, накіраваны на тунель, і пацвердзіце, што ніякі дыяпазон, які перакрываецца, ужо не прэтэндуе на яго.

Сапраўдны прэфікс без зваротнага маршруту дае акуратны план адрасацыі і адсутнасць злучэння. Маршрут без правіла доступу адкрывае больш пляцоўкі, чым задумана, таму спалучайце два змяненні ў адным акне і трымайце паўужыты стан далей ад карыстальнікаў.

Крок пяты: праверка з-за маршрутызатара

Выконвайце праверкі па парадку: адрас тунельнага інтэрфейса на кліенце, дэлегаваны прэфікс на ўнутраным інтэрфейсе, маршрут далёкага боку да гэтага прэфікса і, нарэшце, запыт з прылады за маршрутызатарам. Выкарыстоўвайце пункт прызначэння, які вы кантралюеце, каб ціхі блок адрозніваўся ад адсутнага маршруту. Які б крок вас ні здзівіў, менавіта яго трэба выправіць, перш чым ісці далей.

Зрабіце апошнюю праверку двойчы: адзін раз з самога маршрутызатара і адзін раз з прылады за ім. Маршрутызатар, які дасягае пункта прызначэння, а яго кліенты не могуць, — гэта праблема дэлегавання або перасылкі, а не праблема вышэй па плыні.

Адкат

Захавайце папярэднюю канфігурацыю адрасацыі перад змяненнем і адзначце, які з двух механізмаў вы змянілі. Выдаленне дэлегаванага прэфікса без выдалення маршруту пакідае чорную дзірку, а выдаленне маршруту без прэфікса пакідае адрасы, да якіх нішто не можа дабрацца. Адзначце два змяненні асобна, бо адмена аднаго з захаваннем другога робіць пляцоўку недасяжнай толькі ў адным кірунку.

Калі прадукт не падтрымлівае патрэбную вам ролю, спыніцеся і змяніце дызайн, а не расцягвайце поле кліента, каб змясціць дыяпазон, для якога яно ніколі не прызначалася. Зварот у падтрымку, адказаны няправільным механізмам, каштуе даражэй, чым змяненне дызайну.