Jak zapsat koncový bod IPv6 v konfiguraci VPN

Adresa IPv6 je plná dvojteček a pole koncového bodu, které nese i port, potřebuje způsob, jak označit, kde adresa končí. Pokazíte-li to, klient buď odmítne profil analyzovat, nebo se tiše připojí k něčemu jinému. Správná forma není univerzální: záleží na tom, zda pole obsahuje adresu s portem, holou adresu, nebo název hostitele. Projděte runbook popořadě, protože oprava syntaxe a oprava dostupnosti vypadají úplně jinak, jakmile začnete číst výstup klienta.

Zkontrolujte typ pole, než napíšete adresu

U pole WireGuard Endpoint s portem používá literál IPv6 hranaté závorky kolem adresy, jako v [2001:db8::10]:51820. Dokumentační prefix v tomto příkladu není veřejný server a závorky jsou součástí syntaxe, ne adresy.

Jiné formáty mají vlastní pravidla. URI může nést literál IPv6 v závorkách, ale konfigurace VPN nemusí být URI. Klient se samostatnými poli pro adresu a port může v jednom poli očekávat jen literál a ve druhém číslo, a přidat tam závorky je stejně špatné jako je vynechat ve sloučeném poli.

Dejte literál do závorek, když port sdílí stejné pole

Pravidlo k zapamatování je jednoduché: závorky se objeví, když v témže řetězci následuje port. Neobjeví se, když adresa stojí sama v poli bez portu.

Kopírování celého řetězce koncového bodu jednoho protokolu do každého klienta je obvyklou příčinou této chyby. OpenVPN, profily IPsec a rozhraní aplikací každý dokumentují svou syntaxi a řetězec správný pro jeden může jiný odmítnout nebo špatně vyložit. Čtěte vlastní dokumentaci klienta k poli, které upravujete, a držte dokumentační prefix nebo ukázkovou adresu v komentáři, aby ji nikdo neposlal jako skutečný hostitel. Když návod uvádí dvě formy, použijte tu, která odpovídá typu pole před vámi.

Oddělte pole adresy a portu

Když vám klient dá dvě pole, dejte adresu do jednoho a port do druhého. Sloučená forma vložená do pole adresy vyvolá chybu analýzy nebo, co je horší, adresu, která se přeloží na něco nezamýšleného.

Zkontrolujte koncové mezery a neviditelné znaky, když hodnota vypadá správně. Zkopírovaná adresa často nese nedělitelnou mezeru nebo znak nulové šířky, který klient nedokáže analyzovat a obrazovka ho nezobrazí. Napište hodnotu znovu místo vkládání, když chyba nedává smysl.

Zacházejte opatrně s identifikátory zóny

Literál lokálního spojení může vyžadovat identifikátor zóny vázaný na rozhraní, zapsaný znakem procenta a názvem rozhraní. Tato forma platí na hostiteli, kterému rozhraní patří, a není náhradou za obecně dostupný vzdálený koncový bod.

Rozsah a směrování jsou důležité i po úspěšné analýze. Adresa kvalifikovaná zónou, kterou klient přijme, nemusí mít ze stroje žádnou cestu, a vzdálený koncový bod dosažený přes internet by neměl na místní zóně vůbec záviset. Rozhodněte, kterým rozhraním má paket odejít, než zónu napíšete, ne až po neúspěšném handshake.

Ověřte analýzu, pak dostupnost

Obě selhání jasně oddělte. Poškozená adresa vyvolá chybu analýzy nebo okamžité odmítnutí, zatímco dobře vytvořený koncový bod, který odmítá autentizaci nebo nikdy neodpovídá, je jiný problém s jiným řešením.

Po podporované opravě ověřte, že tunel vyjedná a že zamýšlená aplikace funguje. Samotný handshake cestu nedokazuje a ping na koncový bod nedokazuje tunel. Když operátor dodá název hostitele, zachovejte podporované jméno a jeho kontroly identity, místo abyste je nahradili číselnou adresou nalezenou jinde.

Zapište přesné pole, hodnotu, kterou jste použili, a odpověď klienta do poznámky ke změně. Jinak další člověk, který bude profil upravovat, zopakuje experiment se závorkami, a odpověď už je ve vašem tiketu.