Rhagddodiad cangen IPv6: iroute-ipv6 neu route-ipv6 ar y gweinydd?

Mae dau gyfarwyddeb ag enwau bron yn gyfanna yn ymddangos ym mhob enghraifft sy'n gweithio, ac mae copïo'r naill heb y llall yn cynhyrchu twnnel sy'n edrych yn gywir ac sy'n gollwng rhagddodiad y gangen yn ddistaw. Maent yn gwneud gwaith gwahanol ar ochrau gwahanol o'r un ffin: mae'r naill yn dysgu cnewyllyn y gweinydd lle mae rhagddodiad yn byw, a'r llall yn dysgu OpenVPN pa gleient dilys sy'n ei gario. Cewch y ddau yn gywir ac mae'r rhagddodiad yn llifo; cewch un yn gywir ac mae gan y pecynnau lwybr ond nid oes ganddynt berchennog.

Dau gyfarwyddeb, dwy swydd wahanol

route-ipv6 yw gosodiad llwybr cyffredin: mae'r gweinydd yn ychwanegu llwybr cnewyllyn sy'n pwyntio'r rhagddodiad at ei ryngwyneb twnnel. Mae iroute-ipv6 yn perthyn i gyd-destun sy'n benodol i gleient ac yn datgan perchnogaeth fewnol, fel bod y daemon yn gwybod y dylid anfon traffig ar gyfer y rhagddodiad hwnnw at gleient penodol yn hytrach nag at ba bynnag gyfoed y mae llwybr cnewyllyn yn digwydd ei enwi.

Mae'r naill yn ymwneud â thabl anfon y cnewyllyn, a'r llall â model llwybro mewnol y daemon. Mae cadw'r ddau ar wahân yn esbonio pam y gall cyfluniad sy'n edrych yn gyflawn o hyd ollwng y rhagddodiad. Mae hefyd yn esbonio pam mae'r un rhwydwaith yn ymddangos ddwywaith ym mhob enghraifft sy'n gweithio. Nid yw'r un llinell yn ddiangen.

Yn y drefn ofod defnyddiwr draddodiadol mae'r ddau yn angenrheidiol ac maent yn ategu ei gilydd. Mae llwybr cnewyllyn ar ei ben ei hun yn gadael y daemon yn methu â dewis cyfoed. Mae iroute ar ei ben ei hun yn gadael y cnewyllyn heb lwybr at y twnnel. Dyma hefyd lle daw'r rhan fwyaf o'r dryswch am ffeiliau fesul cleient: nid yw'r ffeil yn gofnod tabl llwybr, ac nid yw'r cofnod llwybr yn ddatganiad perchnogaeth.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Lle mae pob un yn perthyn

Mae'r llwybr yn mynd yng nghyfluniad rheoledig y gweinydd, lle mae'n berthnasol i'r broses weinydd honno. Mae'r iroute yn mynd yn y ffeil benodol i gleient a enwyd ar gyfer hunaniaeth ddilys y ddyfais gangen.

Nid yw enw ffeil nad yw'n cyfateb i'r hunaniaeth effeithiol byth yn cael ei ddarllen, ac mae'r symptom yr un fath ag iroute coll. Gwiriwch yr hunaniaeth a ddilyswyd gan y gweinydd, yna gwiriwch enw'r ffeil gymeriad wrth gymeriad.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Cadwch y pwll a rhagddodiad y gangen ar wahân, oherwydd mae eu gorffen yn creu pos na all unrhyw gyfarwyddeb ei ddatrys.

Beth sydd ei angen ar gleient arall

Mae angen hysbyseb ar ail gleient a ddylai gyrraedd y gangen honno, nid perchnogaeth. Gwthiwch y rhagddodiad at y cleientiaid rydych chi'n bwriadu iddynt, yng nghyd-destun y cleient neu'r grŵp sy'n addas i'ch cyfluniad.

Peidiwch â'i anfon at y gangen ei hun, gan fod y ddyfais honno eisoes yn cael y rhagddodiad fel rhwydwaith gysylltiedig.

Mae anfon at bawb yn ddewis â chanlyniadau: mae pob cleient wedyn yn credu bod y gangen yn cyrraeddadwy trwy'r twnnel, gan gynnwys cleientiaid nad oeddech chi byth yn bwriadu rhoi'r mynediad hwnnw iddynt. Mae hysbysebu yn benderfyniad mynediad yn ymarferol, er bod y gyfarwyddeb yn edrych fel plymwaith. Mae'r cyfeirlyfr opsiynau'r gweinydd yn dogfennu iroute-ipv6 fel perchnogaeth benodol i gleient, sef y gwahaniaeth sy'n werth ei gadw.

Y llwybr dychwelyd ar y ddyfais gangen

Dim ond os yw'r gangen yn anfon pecynnau ac yn gwybod ei LAN sut i ateb y mae perchnogaeth o gymorth. Galluogwch anfon IPv6 ar y ddyfais gangen, a chadarnhewch fod gwesteiwyr ar ei LAN yn anfon traffig ar gyfer pwll VPN yn ôl tuag at y gangen yn hytrach nag at lwybr diofyn nad yw'n adnabod y pwll.

Mae'r llwybr dychwelyd hwnnw yn cyfateb IPv6 i'r broblem llwybr coll y mae pobl yn ei chyfarfod ag IPv4.

Gwiriwch ef o westai LAN gyda chwiliad am gyfeiriad pwll VPN, nid oddi ar y gangen ei hun. Mae chwiliad a wneir ar y llwybrydd yn ateb cwestiwn gwahanol i'r un y mae'ch defnyddwyr yn gofyn, ac mae'r ddau yn anghytuno'n ddigon aml i fod yn werth y gorchymyn ychwanegol.

Pan nad yw'r pâr yn ddigon o hyd

Nid yw rhai gosodiadau'n defnyddio'r llwybr hwn o gwbl. Mae gan lwybr data'r cnewyllyn a gweinyddwyr a reolir gan gynnyrch eu triniaeth llwybr cefnogol eu hunain, ac efallai na fydd enghraifft o ofod defnyddiwr yn trosi'n uniongyrchol.

Cadarnhewch pa lwybr data y mae eich adeiladwaith yn ei ddefnyddio cyn copïo cyfarwyddebau o diwtorial a ysgrifennwyd ar gyfer y llall.

Yn olaf, cofiwch y cwmpas cyfeiriad: mae rhagddodiad lleol unigryw fel fd00:7a::/64 yn breifat trwy gynllun ac yn dweud dim am gyrhaeddiad IPv6 cyhoeddus. Triniwch ef fel mynediad mewnol, a chadwch egress rhyngrwyd fel cwestiwn ar wahân â'i bolisi ei hun.