IPv6 über VPN: ein delegiertes Präfix ist kein Adresspool

Am selben Tag kommen zwei Anfragen: Ein Laptop braucht IPv6 über den Tunnel, und ein kleiner Standort will IPv6 für die Geräte hinter seinem Router. Beide werden mit einer Adresse beantwortet, und die zweite verbringt dann eine Woche mit Scheitern. Die Rollen unterscheiden sich, ebenso die Mechanismen, die Konfiguration und die Prüfung, die belegt, dass es funktioniert. Diese Anleitung hält sie auseinander.

Schritt eins: entscheiden Sie, welche Rolle Sie bedienen

Ein einzelner Host braucht eine Adresse auf seiner Tunnelschnittstelle, mit einer Route zur Gegenseite und nichts weiter unten, was nummeriert werden müsste. Ein Router hinter dem Tunnel braucht ein ganzes Netz, das er verteilen kann, plus eine Route auf der Gegenseite, die diese Adressen zu ihm zurückführt. Was hinter dem Tunnel sitzt, bestimmt jede folgende Entscheidung.

Beantworten Sie diese Frage, bevor Sie irgendeine Konfiguration öffnen. Alles nach diesem Schritt hängt davon ab, welche Antwort Sie gegeben haben.

Schritt zwei: Adresszuweisung für einen einzelnen Host

Weisen Sie die Tunneladresse zu, bestätigen Sie die Präfixlänge, die das Produkt erwartet, und prüfen Sie, ob der Client eine Route für den entfernten Bereich installiert, statt sie an das lokale Standardgateway zu schicken. Ein /128 auf einer Tunnelschnittstelle ist für eine Punkt-zu-Punkt-Verbindung normal, während ein /64 dort ein Netz beansprucht, das niemand delegiert hat. Zwei Ausgaben klären die Frage: die Adresstabelle und die Routentabelle, an beiden Enden gelesen. Lesen Sie sie zusammen, denn eine Route, die auf die falsche Schnittstelle zeigt, ist der häufigste Fehler in diesem Schritt.

Prüfen Sie mit den Adress- und Routentabellen an beiden Enden und senden Sie dann eine Anfrage. Wenn die Anfrage korrekt hinausgeht und nichts zurückkommt, liegt der Fehler in der Route der Gegenseite und nicht in der Adresse des Clients.

Schritt drei: Delegation für einen Router hinter dem Tunnel

Präfixdelegation ist ein eigener Mechanismus, getrennt von der Adresszuweisung, mit eigener Anfrage und eigener Lease. Die delegierende Seite muss so konfiguriert sein, dass sie ein Präfix ausgibt, das groß genug für das nachgelagerte Netz ist, und der anfragende Router muss seine innere Schnittstelle aus diesem Präfix nummerieren.

Gehen Sie nicht davon aus, dass der Pool, der mobile Clients bedient, delegieren kann. Viele VPN-Produkte vergeben einzelne Adressen und haben überhaupt keine Delegationsrolle, und ein Provider-Präfix, das an Ihrem Rand ankommt, wird nicht automatisch an einen Peer weitergegeben. Notieren Sie, welche Rolle jeder Pool bedient, denn die beiden werden an verschiedenen Stellen konfiguriert.

Schritt vier: machen Sie die Rückroute explizit

Beide Enden müssen sich einig sein, welcher Peer welches Präfix trägt. Fügen Sie auf der Gegenseite die Route für das delegierte Netz hinzu, die auf den Tunnel zeigt, und bestätigen Sie, dass kein überlappender Bereich sie bereits beansprucht.

Ein gültiges Präfix ohne Rückroute ergibt einen ordentlichen Adressplan und keine Konnektivität. Eine Route ohne Zugriffsregel legt mehr vom Standort offen als beabsichtigt, also bündeln Sie die beiden Änderungen im selben Wartungsfenster und halten Sie einen halb angewandten Zustand von den Nutzern fern.

Schritt fünf: vom Router aus prüfen

Führen Sie die Prüfungen der Reihe nach aus: die Adresse der Tunnelschnittstelle auf dem Client, das delegierte Präfix auf der inneren Schnittstelle, die Route der Gegenseite zu diesem Präfix und schließlich eine Anfrage von einem Gerät hinter dem Router. Verwenden Sie ein Ziel, das Sie kontrollieren, damit eine stille Blockade von einer fehlenden Route unterscheidbar ist. Welcher Schritt Sie auch überrascht, er ist derjenige, den Sie vor dem Weitergehen beheben müssen.

Führen Sie die letzte Prüfung zweimal aus, einmal vom Router selbst und einmal von einem Gerät dahinter. Ein Router, der das Ziel erreicht, während seine Clients es nicht können, ist ein Delegations- oder Weiterleitungsproblem, kein Problem weiter oben.

Rückabwicklung

Bewahren Sie die vorherige Adresskonfiguration vor der Änderung auf und notieren Sie, welchen der beiden Mechanismen Sie geändert haben. Ein delegiertes Präfix zu entfernen, ohne die Route zu entfernen, hinterlässt ein schwarzes Loch, und die Route ohne das Präfix zu entfernen, hinterlässt Adressen, die nichts erreichen kann. Notieren Sie die beiden Änderungen getrennt, denn das Rückgängigmachen der einen bei Beibehaltung der anderen macht einen Standort nur in eine Richtung unerreichbar.

Wenn sich herausstellt, dass ein Produkt die benötigte Rolle nicht unterstützt, halten Sie an und ändern Sie das Design, statt ein Client-Feld zu dehnen, damit es einen Bereich aufnimmt, für den es nie gedacht war. Ein Supportfall, der mit dem falschen Mechanismus beantwortet wird, kostet mehr, als die Designänderung gekostet hätte.