IPv6 over VPN: et delegeret præfiks er ikke en adressepulje

Samme dag kommer to anmodninger ind: en bærbar computer har brug for IPv6 over tunnelen, og et lille sted vil have IPv6 til enhederne bag sin router. Begge besvares med en adresse, og den anden bruger derefter en uge på at fejle. Rollerne er forskellige, og det samme er mekanismerne, konfigurationen og den kontrol, der beviser, at det virker. Denne vejledning holder dem adskilt.

Trin et: afgør, hvilken rolle du betjener

En enkelt vært har brug for én adresse på sin tunnelgrænseflade, med en rute til den fjerne side og intet nedstrøms, der skal nummereres. En router bag tunnelen har brug for et helt netværk, som den kan uddele, plus en rute på den fjerne side, der peger disse adresser tilbage til den. Det, der ligger bag tunnelen, styrer hver beslutning, der følger.

Svar på det spørgsmål, før du åbner nogen konfiguration. Alt efter dette trin afhænger af, hvilket svar du gav.

Trin to: adressetildeling til en enkelt vært

Tildel tunneladressen, bekræft den præfikslængde, som produktet forventer, og kontrollér, at klienten installerer en rute til det fjerne område i stedet for at sende den til den lokale standardgateway. En /128 på en tunnelgrænseflade er normalt for en punkt-til-punkt-forbindelse, mens en /64 der gør krav på et netværk, som ingen har delegeret. To udgange afgør spørgsmålet: adressetabellen og rutetabellen, læst i begge ender. Læs dem sammen, fordi en rute, der peger på den forkerte grænseflade, er den mest almindelige fejl på dette trin.

Kontrollér med adresse- og rutetabellerne i begge ender, og send derefter én anmodning. Hvis anmodningen forlader korrekt, og intet kommer tilbage, ligger fejlen i den fjerne sides rute og ikke i klientens adresse.

Trin tre: delegering til en router bag tunnelen

Præfiksdelegering er en anden mekanisme end adressetildeling, med sin egen anmodning og sin egen leje. Den delegerende side skal konfigureres til at udlevere et præfiks, der er stort nok til det nedstrøms netværk, og den anmodende router skal nummerere sin indre grænseflade ud fra dette præfiks.

Antag ikke, at den pulje, der betjener mobile klienter, kan delegere. Mange VPN-produkter tildeler enkeltadresser og har slet ingen delegeringsrolle, og et udbyderpræfiks, der ankommer til din kant, sendes ikke automatisk videre til en peer. Notér, hvilken rolle hver pulje betjener, fordi de to konfigureres forskellige steder.

Trin fire: gør returruten eksplicit

Begge ender skal være enige om, hvilken peer der bærer hvilket præfiks. Tilføj på den fjerne side ruten for det delegerede netværk, der peger på tunnelen, og bekræft, at intet overlappende område allerede gør krav på den.

Et gyldigt præfiks uden returrute giver en pæn adresseplan og ingen forbindelse. En rute uden en adgangsregel blotlægger mere af stedet, end det var meningen, så par de to ændringer i samme vindue, og hold en halvt anvendt tilstand væk fra brugerne.

Trin fem: kontrollér bag routeren

Kør kontrollerne i rækkefølge: tunnelgrænsefladens adresse på klienten, det delegerede præfiks på den indre grænseflade, den fjerne sides rute mod dette præfiks og til sidst en anmodning fra en enhed bag routeren. Brug en destination, du kontrollerer, så en tavs blokering kan skelnes fra en manglende rute. Hvilket trin der end overrasker dig, er det, du skal rette, før du går videre.

Udfør den sidste kontrol to gange, én gang fra routeren selv og én gang fra en enhed bag den. En router, der kan nå destinationen, mens dens klienter ikke kan, er et delegerings- eller videresendelsesproblem, ikke et problem længere oppe.

Tilbagerulning

Gem den tidligere adressekonfiguration før ændringen, og notér, hvilken af de to mekanismer du ændrede. At fjerne et delegeret præfiks uden at fjerne ruten efterlader et sort hul, og at fjerne ruten uden præfikset efterlader adresser, som intet kan nå. Notér de to ændringer hver for sig, fordi at fortryde den ene, mens den anden bliver, gør et sted utilgængeligt i kun én retning.

Hvis et produkt viser sig ikke at understøtte den rolle, du har brug for, så stop og ændr designet i stedet for at strække et klientfelt til at rumme et område, det aldrig var beregnet til. En supportsag besvaret med den forkerte mekanisme koster mere, end designændringen ville gøre.