Ychwanegu IPv6 preifat at lab OpenVPN, un pwynt gwirio ar y tro

Mae gennych gleient eisoes sy'n cysylltu dros IPv4 ac yn cyrraedd llwyth gwaith IPv4 preifat y tu ôl i'r gweinydd. Y nod yw cyrraedd llwyth gwaith IPv6 preifat drwy'r un twnnel heb gyffwrdd â'r cludiant allanol. Mae'r drefn honno'n bwysig: mae'r llwybr allanol yn aros yn IPv4, a dim ond y cynllun cyfeiriadau mewnol, llwybr y cleient a'r llwybr dychwelyd o'r gweinydd i'r LAN sy'n newid. Pump pwynt gwirio, pob un â rhywbeth pendant i'w edrych arno cyn symud ymlaen.

Pwynt gwirio un: y cysylltiad sy'n gweithio'n barod

Cysylltwch y cleient a chadarnhau'r llwybr IPv4 cyn ychwanegu unrhyw beth. Mae twnnel sy'n gweithio'n rhoi llinell sylfaen i chi sy'n gwahanu camgymeriad IPv6 newydd oddi wrth broblem cysylltedd hen. Mae hefyd yn dweud wrthych pa achos o'r gweinydd yr ydych mewn gwirionedd yn ei olygu.

Nodwch y pwll, y topoleg a'r llwybrau a wthiwyd yr ydych eisoes yn dibynnu arnynt. Mae gwaith IPv6 yn ehangu'r ffurwedigaeth honno; nid yw'n ei disodli.

Pwynt gwirio dau: dewiswch y rhagddodiadau mewnol

Dewiswch ULA /48 ar gyfer y safle a thorrwch ddau /64 ohono: un ar gyfer cleientiaid y twnnel, un ar gyfer y segment LAN sy'n dal y llwyth gwaith IPv6. Cynhyrchwch yr ID byd-eang 40-did yn lle copïo rhagddodiad enghreifftiol, a gwirio'r ddau is-rwydwaith yn erbyn pob rhwydwaith y mae'r safle'n ei lwybro'n barod:

Outer transport: IPv4 OpenVPN UDP
IPv4 pool:       10.90.0.0/24
IPv6 VPN pool:   fd73:93bc:b6e9:77::/64
IPv6 LAN:        fd73:93bc:b6e9:60::/64
Server LAN IPv6: fd73:93bc:b6e9:60::1

Mae dau /64 annibynnol yn cadw'r pwll cleientiaid rhag cael ei dorri allan o segment y LAN, sy'n bwysig yn ddiweddarach pan fyddwch yn ysgrifennu'r llwybr dychwelyd. Mae'r gwerthoedd uchod yn un enghraifft weithiedig, nid rhagddodiad i'w ailddefnyddio.

Pwynt gwirio tri: ychwanegwch y cynorthwyydd a'r gwthiad llwybr

Darllenwch ffurwedigaeth bresennol y gweinydd cyn atodi unrhyw beth. Nid yw ail gopi o gyfarwyddeb bresennol yn uno â'r cyntaf, ac mae'r gwall sy'n deillio yn enwi'r gyfarwyddeb yn hytrach nag IPv6. Gyda'r cynorthwyydd IPv4 presennol, mae dwy linell yn ei ehangu. Mae pob un yn ateb cwestiwn gwahanol:

server-ipv6 fd73:93bc:b6e9:77::/64
push "route-ipv6 fd73:93bc:b6e9:60::/64"

Y cyntaf yw cynorthwyydd cyfleus sy'n ffurfweddu'r rhyngwyneb a phwll y cleient. Mae'r ail yn enwi cyrchfan y LAN y dylai'r cleient ei chyrraedd. Nid yw rhoi cyfeiriad IPv6 i gleient yn dweud wrtho pa rwydweithiau sydd y tu ôl i'r gweinydd, felly mae angen y ddwy linell.

Nid yw'r cynorthwyydd yn cydfodoli â phwll IPv6 statig nac â nopool. Os yw'r defnydd yn dyrannu cyfeiriadau'n statig yn fwriadol, cadwch y polisi hwnnw a dyluniwch y cyfwerth IPv6 yn benodol yn lle dileu'r polisi i ffitio enghraifft.

Pwynt gwirio pedwar: anfon ymlaen a'r llwybr ateb

Trowch anfon ymlaen IPv6 ymlaen ar y gweinydd drwy berchennog ffurwedigaeth y system ei hun, nid gydag ysgrifiad rhedeg-amser untro y byddwch yn ei anghofio. Mae'r ffurf rhedeg-amser yn ddefnyddiol ar gyfer prawf cyflym. Mae ffurwedigaeth barhaus yn perthyn i ffeil drop-in y mae perchennog rhwydwaith y dosbarthiad yn ei darllen:

sysctl -w net.ipv6.conf.all.forwarding=1

Mae anfon ymlaen yn newid ymddygiad IPv6 y gwesteiwr y tu hwnt i lwybro pecynnau. Mae gwesteiwr a oedd yn derbyn hysbysiadau llwybrydd fel cleient yn rhoi'r gorau iddi yn yr un modd pan fydd yn anfon ymlaen. Felly mae peiriant y mae ei uplink IPv6 yn dibynnu ar RA angen cynllun penodol ar gyfer yr uplink hwnnw.

Yna rhoddwch lwybr yn ôl i'r LAN tuag at bwll y twnnel. Porth IPv6 y llwyth gwaith yw llwybrydd y LAN, nid gweinydd y VPN, felly mae'r llwybr yn perthyn i'r llwybrydd hwnnw ac yn pwyntio at gyfeiriad LAN y gweinydd:

ip -6 route add fd73:93bc:b6e9:77::/64 via fd73:93bc:b6e9:60::1

Cadwch y mathau ICMPv6 sydd eu hangen ar y ddolen, gan gynnwys adborth MTU'r llwybr. Nid yw rheol tân IPv4 yn awgrymu un IPv6, ac mae blocio IPv6 yn gyfan yn torri darganfod cymdogion mewn ffordd sy'n edrych fel nam llwybro.

Pwynt gwirio pump: darllenwch y cleient, yna profwch

Ailgysylltwch y cleient a darllenwch y cyfeiriadau a gafodd mewn gwirionedd yn lle eu casglu o gyfeiriad cynorthwyydd y gweinydd. Mae'r rhestr rhyngwyneb yn dangos y ddau deulu ar yr un ddyfais:

ip -6 addr show tun0
ip -6 route get fd73:93bc:b6e9:60::20

Mae llwybr sy'n dewis y twnnel yn profi bod y cleient yn gwybod i ble i anfon y pecyn. Nid yw'n profi bod y gweinydd yn ei anfon ymlaen, bod gan lwybrydd y LAN y llwybr dychwelyd, nac bod caniatâd i'r cymhwysiad ateb.

Profwch y cymhwysiad ei hun dros bob teulu yn ei dro, yna ailadroddwch ar ôl ailgysylltu ac ar ôl ailgychwyn y gwesteiwr. Mae llwybr neu sysctl sy'n goroesi tan ailgychwyn yn unig yn brawf, nid yn ddyluniad.

Cyhoeddwch gofnod AAAA dim ond pan fydd y llwybr IPv6 yn ateb o'r dechrau i'r diwedd. Gall DNS a ofynnir dros IPv4 barhau i ddychwelyd cyfeiriad IPv6, felly nid yw enw y gellir ei ddatrys yn brawf bod unrhyw beth yn gwrando. Mae canllaw RFC 4193 ar gyfer ULA yn trafod cynhyrchu'r ID byd-eang sy'n gwneud y rhagddodiadau hyn yn eiddo i chi yn hytrach na chopi.