Prefix de branca IPv6: iroute-ipv6 o route-ipv6 al servidor?

Dues directrius amb un nom gairebé idèntic apareixen a cada exemple que funciona, i copiar-ne una sense l’altra produeix un túnel que sembla correcte i descarta el prefix de branca en silenci. Fan feines diferents a banda i banda d’una mateixa frontera: una ensenya al nucli del servidor on viu un prefix, i l’altra ensenya a OpenVPN quin client autenticat el transporta. Si encertes les dues, el prefix flueix; si n’encertes una, els paquets tenen ruta però no amo.

Dues directrius, dues feines diferents

route-ipv6 és una instal·lació de ruta normal: el servidor afegeix una ruta del nucli que apunta el prefix a la seva interfície de túnel. iroute-ipv6 pertany a un context específic del client i declara la propietat interna, de manera que el dimoni sap que el trànsit d’aquell prefix s’ha d’enviar a un client concret i no al parell que una ruta del nucli anomeni per casualitat.

Una tracta de la taula de reenviament del nucli, l’altra del model d’encaminament intern del dimoni. Mantenir-les separades explica per què una configuració que sembla completa encara pot descartar el prefix. També explica per què la mateixa xarxa apareix dues vegades a cada exemple que funciona. Cap de les dues línies no és redundant.

A la instal·lació tradicional en espai d’usuari calen totes dues i es complementen. Una ruta del nucli sola deixa el dimoni incapaç de triar un parell. Una iroute sola deixa el nucli sense camí cap al túnel. D’aquí ve també la major part de la confusió sobre els fitxers per client: el fitxer no és una entrada de la taula d’encaminament, i l’entrada de ruta no és una declaració de propietat.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

On va cadascuna

La ruta va a la configuració gestionada del servidor, on s’aplica a aquell procés de servidor. La iroute va al fitxer específic del client, anomenat segons la identitat autenticada de l’equip de branca.

Un nom de fitxer que no coincideix amb la identitat efectiva no es llegeix mai, i el símptoma és idèntic al d’una iroute absent. Comprova la identitat que ha autenticat el servidor i després comprova el nom del fitxer caràcter a caràcter.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Mantingues el pool i el prefix de branca separats, perquè sobreposar-los crea un trencaclosques que cap directriu no pot resoldre.

Què necessita un altre client

Un segon client que ha d’arribar a aquesta branca necessita un anunci, no propietat. Empeny el prefix als clients que vols, en el context de client o de grup que encaixi amb la teva configuració.

No l’enviïs a la branca mateixa, perquè aquest equip ja té el prefix com a xarxa connectada.

Enviar-lo a tothom és una decisió amb conseqüències: cada client creu llavors que la branca és abastable pel túnel, inclosos clients als quals mai no volies donar aquest accés. Anunciar és, a la pràctica, una decisió d’accés, encara que la directriu sembli lampisteria. La referència d’opcions del servidor documenta iroute-ipv6 com a propietat específica del client, i aquesta és la distinció que val la pena conservar.

El camí de tornada a l’equip de branca

La propietat només ajuda si la branca reenvia paquets i la seva LAN sap com respondre. Activa el reenviament IPv6 a l’equip de branca i confirma que els amfitrions de la seva LAN envien el trànsit del pool VPN cap a la branca i no cap a una ruta per defecte que no coneix el pool.

Aquest camí de tornada és l’equivalent IPv6 del problema de la ruta absent que la gent troba amb IPv4.

Comprova-ho des d’un amfitrió de la LAN amb una consulta de l’adreça del pool VPN, no des de la branca mateixa. Una consulta feta al router respon una pregunta diferent de la que fan els teus usuaris, i les dues discrepen prou sovint perquè valgui la pena l’ordre extra.

Quan la parella encara no n’hi ha prou

Alguns desplegaments no fan servir gens aquest camí. El camí de dades del nucli i els servidors gestionats pel producte tenen el seu propi tractament de rutes compatible, i un exemple en espai d’usuari pot no traduir-se directament.

Confirma quin camí de dades fa servir la teva compilació abans de copiar directrius d’un tutorial escrit per a l’altre.

Finalment, recorda l’abast de les adreces: un prefix local únic com fd00:7a::/64 és privat per disseny i no diu res sobre l’abastabilitat IPv6 pública. Tracta’l com a accés intern i mantén la sortida a internet com una qüestió a part amb la seva pròpia política.