Mae allanfa IPv6 yn marw ar ôl ailgychwyn OpenVPN: gwiriwch berchenogaeth y rhagddodiad

Mae IPv6 yn stopio trosglwyddo traffig ar yr eiliad y mae OpenVPN yn ailgychwyn, ac mae IPv4 yn dal i weithio. Cafodd rhyngwyneb y twnnel ei ail-greu, a chollodd rhywbeth arall a oedd yn rheoli ei gyflwr IPv6 naill ai’r cyfeiriad neu’r llwybr sy’n gwneud y rhagddodiad yn gyrraeddadwy. Mae tair rhan ar wahân o gyflwr yn gysylltiedig, ac mae gan bob un berchennog gwahanol: rhagddodiad dirprwyedig y darparwr a’i oes, y cyfeiriadau a roddir i gleientiaid VPN, a’r llwybr i fyny’r afon sy’n anfon y rhagddodiad cleient hwnnw’n ôl i’r gweinydd. Nodwch berchennog pob un cyn i chi gyffwrdd ag unrhyw ddaemon, oherwydd mae ailgychwyn yr un anghywir yn cuddio’r broblem am ddiwrnod ac yn ei dychwelyd ar y cysylltiad nesaf.

Tair rhan o gyflwr IPv6, tri pherchennog

Nid yw cyfeiriad â chwmpas byd-eang y tu mewn i’r twnnel yn ddigon ar ei ben ei hun. Mae’n rhaid i lwybryddion i fyny’r afon anfon y rhagddodiad hwnnw’n ôl tuag at weinydd VPN o hyd, ac ni fyddant yn gwneud hynny oherwydd bod gan y gweinydd gyfeiriad ohono ar hap.

Dyma hefyd pam mae copïo /64 cyhoeddus i bwll twnnel yn beryglus. Nid yw rhagddodiad a lwybrwyd i’r gweinydd yr un peth â rhagddodiad y mae’r ochr i fyny’r afon yn ei drin fel on-link, ac ni fydd darganfod cymdogion yn llenwi’r bwlch.

Darllenwch gyflwr y gweinydd cyn newid unrhyw beth

Cipiwch y cyflwr ddwywaith, unwaith tra bo IPv6 yn gweithio ac unwaith ar ôl yr ailgychwyn, yna cymharwch. Mae golygfeydd darllen-yn-unig yn ddigon, ac nid ydynt yn costio dim yn ystod ffenestr gynnal a chadw:

ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwarding

Chwiliwch am dri gwahaniaeth penodol: llwybr a ddiflannodd, cyfeiriad a symudodd i oes wedi’i dibrisio neu annilys, a rhagddodiad a newidiodd ar ôl ailddirprwyo tra bod ffurfweddiad VPN yn dal i hysbysebu’r hen un.

Os diflannodd y cyfeiriad ond nid yw’r rhagddodiad wedi newid, mae’r daemon sy’n ei ddyrannu wedi rhoi’r gorau i reoli’r rhyngwyneb. Os newidiodd y rhagddodiad ond nid y cyfeiriadau, mae ffurfweddiad y cleient yn hen. Mae’r ddau fethiant yn edrych yn union yr un fath o borwr ac nid oes ganddynt ddim yn gyffredin.

Penderfynwch a ddylai dhcpcd reoli’r twnnel

Gall dhcpcd ddarganfod rhyngwynebau a dirprwyo rhannau o ragddodiad DHCPv6 i ryngwynebau i lawr yr afon, a gall ei ffurfweddiad enwi’r targedau dirprwyo’n benodol. Heb darged penodol, gall ei ymddygiad dogfennedig gynnwys rhyngwynebau eraill, a dyna sut mae twnnel yn gorffen gyda chyfeiriad na chynlluniodd neb.

Dylai dau amod eich gwthio tuag at adael i OpenVPN berchenogi cyfeirio statig y twnnel: mae’r gweinydd yn gwthio cyfeiriadau sefydlog yn ei ffurfweddiad, ac mae enw’r twnnel yn newid ar ailsgysylltu. Os yw’r ddau yn dal, eithriwch y twnnel o’r daemon dirprwyo yn fwriadol, gyda sylw sy’n dweud pam.

Os yw dirprwyo i’r twnnel yn fwriadol yn lle hynny, gweithredwch y triniaeth newid rhagddodiad. Mae hynny’n golygu ymateb pan fo’r rhagddodiad dirprwyedig neu ei oes yn newid, diweddaru rhagddodiad cleient a hysbysebir gan y gweinydd, ac ail-ychwanegu’r llwybr. Mae eithrio’r rhyngwyneb yn y cynllun hwnnw yn tynnu’r unig gydran sy’n gwybod am y rhagddodiad newydd.

Gall ailgychwyn dhcpcd ymddangos i drwsio pethau oherwydd ei fod yn ail-greu cyflwr, ond mae hefyd yn adnewyddu neu’n tynnu ffurfweddiad ar gyfer rhyngwynebau nad oeddech yn meddwl amdanynt. Nid yw’r adferiad hwnnw yn ei wneud yn ofyniad ar ôl pob ailgychwyn VPN. Mae hefyd yn ailosod y cyfrifwyr yr oeddech yn eu defnyddio fel tystiolaeth. Mae’n well gennych ail-lwytho â tharged o’r rhyngwyneb y gwnaethoch ei newid mewn gwirionedd.

Dilyswch IPv6 ar wahân i NAT IPv4

Cadarnhewch fod anfon ymlaen yn cael ei alluogi a bod y llwybr i fyny’r afon yn pwyntio at ragddodiad gwirioneddol y cleient, yna gwnewch gysylltiad IPv6 newydd a ganiateir. Edrychwch ar dabl llwybr IPv6 y cleient hefyd, oherwydd nid yw cleient yn dangos cyfeiriad cyhoeddus yn profi bod ei gais wedi defnyddio’r twnnel.

Mae masgio IPv4 yn datrys problem wahanol: y llwybr dychwelyd ar gyfer ffynonellau preifat. Nid yw’n gwneud dim i ragddodiad IPv6 a dynnwyd yn ôl, ac ni fydd ei ychwanegu yn dod ag IPv6 yn ôl.

Gorffennwch â’r cofnod perchenogaeth: pa gydran sy’n dirprwyo’r rhagddodiad, pa un sy’n dyrannu cyfeiriadau cleientiaid, pa un sy’n dal y llwybr dychwelyd, a beth sy’n digwydd i bob un ar ailsgysylltu. Mae pedair llinell mewn runbook yn arbed i’r person nesaf ailgychwyn tri daemon i ddod o hyd i’r un a oedd o bwys.