Nid yw hollti eich /64 yn llwybro IPv6 at gleientiaid VPN

Mae'r cleient yn dangos cyfeiriad IPv6 byd-eang, mae'r cydlawenhau wedi cwblhau, ac nid oes dim yn dod yn ôl o'r rhyngrwyd. Mae gosodiad y gronfa yn edrych yn gywir oherwydd ei fod yn gywir; mae'r cyfeiriad yn ddilys ac mae'r twnnel yn ei gario. Yr hyn sy'n methu yw'r cyflenwi, ac mae'r cyflenwi yn dibynnu ar benderfyniad a wneir uwchben y gweinydd VPN na all unrhyw ffurfweddiad ar ochr y cleient ddylanwadu arno.

Y myth: mae darn o'ch /64 eisoes yn gyrraeddadwy

Mae'r stori'n apelgar: mae gan y gweinydd /64 cyhoeddus, torrwch ef yn ei hanner, rhowch yr hanner arall i gronfa VPN, ac mae'r cleientiaid hynny nawr ar y rhyngrwyd. Mae hollti'r rhagddodiad yn dyrannu cyfeiriadau heb wrthdrawiadau. Nid yw'n newid sut mae'r rhwydwaith upstream yn penderfynu i ble y dylai pecyn ar gyfer un o'r cyfeiriadau hynny fynd.

Nid oes gan IPv6 haen gyfieithu ddiofyn i bwyso arni, felly rhaid i'r llwybr dychwelyd fodoli fel llwybro neu fel cyflenwi ar lefel cyswllt. Mae pecyn sydd wedi'i gyfeirio at gyfeiriad twnnel cleient yn cyrraedd y llwybrydd upstream, ac mae'r llwybrydd hwnnw'n gwneud penderfyniad anfon o'i dabl ei hun. Os yw'r tabl yn pwyntio at y cyswllt ffisegol, mae'r pecyn yn mynd yno waeth beth mae eich gweinydd VPN yn ei gredu.

Dyna'r methiant cyfan: mae'r cyfeiriad ymlaen yn gweithio oherwydd bod eich gweinydd yn ei anfon, ac mae'r cyfeiriad yn ôl yn marw un naid i ffwrdd oherwydd na ddysgodd yr upstream erioed fod y cleient yn bodoli.

Yr hyn y mae cyflenwi ar y cyswllt yn ei wir ofyn

Pan fydd yr upstream yn ystyried bod y /64 cyfan ar y cyswllt ffisegol, mae'n datrys pob cyfeiriad cyrchfan drwy ddarganfod cymdogion. Mae'n anfon cais ar y cyswllt hwnnw ac yn disgwyl i berchennog y cyfeiriad ateb. Nid yw cleient VPN y tu ôl i dwnnel ar y cyswllt hwnnw ac ni all ateb, felly mae'r cais yn mynd heb ateb ac mae'r pecyn yn cael ei ollwng.

Nid yw torri /65 allan yn newid y disgwyliad hwnnw. Mae'r upstream yn dal i drin yr ystod fel un ar y cyswllt, oherwydd yr unig beth a fyddai'n newid ei feddwl yw llwybr neu brocsi sy'n ateb ar ran y cleient. Nid yw'r naill na'r llall yn ymddangos oherwydd eich bod wedi golygu ffurfweddiad VPN. Dyna'r bwlch sy'n esbonio pam y gall cronfa weithio'n berffaith rhwng ei chleientiaid ei hun ac eto fod yn anghyrraeddadwy o unrhyw le arall.

Darganfod cymdogion drwy brocsi yw'r mecanwaith a all bontio'r ddau fyd. Mae'r porth yn ateb ceisiadau ar gyfer y cyfeiriadau cleient penodol y mae'n berchen arnynt ac yn anfon y traffig i'r twnnel. Mae'n gweithio, ac mae'n rhaid ei gwmpasu'n union at y cyfeiriadau hynny gyda chylch bywyd sy'n dilyn y gronfa, oherwydd mae ateb ar gyfer cyfeiriad nad ydych yn ei wasanaethu mwyach yn troi traffig rhywun arall yn dwll du. Ni fydd rhai upstreams yn derbyn atebion procsi na wnaethant eu disgwyl, felly mae angen cytundeb y darparwr ar y dyluniad hwn hefyd.

Yr hyn y mae cyflenwi llwybrol yn ei ofyn

Y dyluniad glanach yw dyraniad y mae'r upstream yn ei lwybro'n wirioneddol at eich porth. Gall fod yn ragddodiad dirprwyedig neu'n llwybr statig ar gyfer bloc llai, ac mae'r gofyniad yr un peth y naill ffordd neu'r llall: rhaid i dabl yr upstream bwyntio at eich gweinydd ar gyfer yr ystod cleientiaid. Yna mae traffig dychwelyd yn cyrraedd y porth ac mae'r porth yn ei anfon i'r twnnel.

Mae cyflenwi llwybrol yn dileu'r cwestiwn darganfod cymdogion yn gyfan gwbl, a dyna pam ei fod yn werth gofyn i'r darparwr amdano cyn adeiladu unrhyw beth clyfar. Gofynnwch am y llwybr yn ysgrifenedig, a chadarnhewch mai'r naid nesaf yw'r cyfeiriad y gall yr upstream ei gyrraedd mewn gwirionedd.

Mae'r ddau ddyluniad yn dal i fod angen anfon IPv6 wedi'i alluogi ar y porth a rheolau mur tân sy'n caniatáu'r ffrwd a anfonir ym mhob cyfeiriad. Mae cyflenwi yn ragofyn, nid yn ddewis arall, ar gyfer gweddill y llwybr. Mae llwybr sy'n gweithio gydag anfon wedi'i analluogi yn cynhyrchu'r un distawrwydd yn union â llwybr coll, felly gwiriwch y ddau cyn ailddylunio unrhyw beth.

Dau lwybr annibynnol i'w cael yn iawn

Mae rhagddodiad y gronfa a llwybr diofyn y cleient ei hun yn osodiadau ar wahân, ac mae eu drysu yn cynhyrchu cysylltedd rhannol sy'n edrych fel twnnel wedi torri. Mae'r gronfa'n dweud wrth y gweinydd pa gyfeiriadau i'w dosbarthu. Mae llwybrau'r cleient yn penderfynu pa gyrchfannau y mae'r cleient yn eu hanfon i'r twnnel o gwbl.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

Mae'r rhagddodiad uchod yn ofod dogfennaeth, ac mae'r ailgyfeirio yn berthnasol i IPv6 yn unig, sef yn union yr hyn y mae defnydd deu-stac yn ei eisiau'n aml tra bo cyflenwi IPv6 yn dal i gael ei drwsio. Nid yw ailgyfeirio IPv4 yn sefydlu gorchudd IPv6, ac nid yw'r naill osodiad yn awgrymu'r llall.

Cadwch y traffig rheoli y mae IPv6 yn dibynnu arno yn gweithio o dan ba bynnag bolisi a roddwch ar waith. Mae negeseuon Packet Too Big yn ddioddefwr clasurol mur tân sy'n caniatáu TCP ac UDP yn unig, ac mae eu gollwng yn cynhyrchu cysylltiadau sy'n sefydlu ac yna'n tagu ar drosglwyddiadau mwy.

Hysbysiadau llwybrydd yw'r trydydd rhan symudol. Os bydd y porth yn dechrau hysbysebu ar yr uplink, gall newid yr hyn y mae cleientiaid a chymdogion yn ei gredu am ragddodiadau ar y cyswllt, a all ddadwneud yn dawel y dyluniad yr ydych newydd ei ddogfennu.

Cofnodwch y dyluniad fel y gall ailadeiladu ei atgynhyrchu

Ysgrifennwch dri gwrthrych ar wahân: dyraniad y cleient, llwybr cyrchfan y cleient, a dull cyflenwi'r upstream ar gyfer y dyraniad. Gall darllenydd sydd â'r tri ailadeiladu'r defnydd; bydd darllenydd sydd â gosodiad y gronfa yn unig yn atgynhyrchu'r nam gwreiddiol.

Yna profwch y cyfeiriad yn ôl yn benodol, gyda phecyn sy'n gorfod dod yn ôl o'r tu allan. Mae llawlyfr openvpn(8) yn ymdrin â'r opsiynau server-ipv6 ac redirect, ac mae cadarnhad llwybro eich darparwr yn ymdrin â'r hanner na all y llawlyfr ei wneud.