IPv6 pribatua OpenVPN laborategi batean gehitu, kontrol-puntu bat aldiko

Dagoeneko baduzu IPv4 bidez konektatzen den eta zerbitzariaren atzeko IPv4 karga pribatu batera iristen den bezero bat. Helburua da IPv6 karga pribatu batera tunel beretik iristea kanpoko garraioa ukitu gabe. Ordena horrek garrantzia du: kanpoko bidea IPv4 izaten jarraitzen du, eta barneko helbide-plana, bezeroaren bidea eta zerbitzaritik LANera itzultzeko bidea baino ez dira aldatzen. Bost kontrol-puntu, bakoitzak aurrera egin aurretik begiratzeko zerbait zehatza duela.

Lehen kontrol-puntua: jada funtzionatzen duen konexioa

Konektatu bezeroa eta berretsi IPv4 bidea ezer gehitu aurretik. Funtzionatzen duen tunelak oinarri-lerro bat ematen dizu, IPv6 errore berria konektibitate arazo zaharretik bereizten duena. Gainera, benetan zein zerbitzari instantzia editatzen ari zaren esaten dizu.

Idatzi jada fidatzen zaren multzoa, topologia eta bultzatutako bideak. IPv6 lanak konfigurazio hori zabaltzen du; ez du ordezkatzen.

Bigarren kontrol-puntua: aukeratu barneko aurrizkiak

Aukeratu ULA /48 bat gunearentzat eta moztu bi /64 hortik: bat tuneleko bezeroentzat, bat IPv6 karga duen LAN segmentuarentzat. Sortu 40 biteko ID globala, adibide aurrizki bat kopiatu beharrean, eta egiaztatu bi azpisareak guneak jada bideratzen dituen sare guztien aurka:

Outer transport: IPv4 OpenVPN UDP
IPv4 pool:       10.90.0.0/24
IPv6 VPN pool:   fd73:93bc:b6e9:77::/64
IPv6 LAN:        fd73:93bc:b6e9:60::/64
Server LAN IPv6: fd73:93bc:b6e9:60::1

Bi /64 independentek bezeroen multzoa LAN segmentutik moztuta ez geratzea eragozten dute, eta horrek garrantzia du geroago itzulera-bidea idazterakoan. Goiko balioak landutako adibide bat dira, ez berrerabiltzeko aurrizki bat.

Hirugarren kontrol-puntua: gehitu laguntzailea eta bidearen bultzada

Irakurri zerbitzariaren uneko konfigurazioa ezer erantsi aurretik. Dagoen direktiba baten bigarren kopia ez da lehenengoarekin bat egiten, eta sortutako erroreak direktiba aipatzen du, ez IPv6. Dagoen IPv4 laguntzailearekin, bi lerrok zabaltzen dute. Bakoitzak galdera desberdin bati erantzuten dio:

server-ipv6 fd73:93bc:b6e9:77::/64
push "route-ipv6 fd73:93bc:b6e9:60::/64"

Lehenengoa interfazea eta bezeroen multzoa konfiguratzen dituen erosotasun laguntzaile bat da. Bigarrenak bezeroak iritsi behar duen LAN helmuga aipatzen du. Bezeroari IPv6 helbide bat emateak ez dio esaten zer sare dauden zerbitzariaren atzean, beraz bi lerrok behar dira.

Laguntzaileak ez du elkarbizitzen IPv6 multzo estatiko batekin ezta nopool-rekin ere. Hedapenak helbideak estatiki esleitzen baditu nahita, mantendu politika hori eta diseinatu IPv6 baliokidea modu esplizituan, politika ezabatu beharrean adibide batera egokitzeko.

Laugarren kontrol-puntua: birbidalketa eta erantzun-bidea

Piztu IPv6 birbidalketa zerbitzarian sistemaren konfigurazio jabearen bidez, ahaztuko duzun exekuzio-idazketa puntual batekin beharrean. Exekuzio-forma proba bizkor baterako da erabilgarria. Konfigurazio iraunkorra banaketaren sare jabeak irakurtzen duen drop-in fitxategi batean doa:

sysctl -w net.ipv6.conf.all.forwarding=1

Birbidalketak ostalariaren IPv6 portaera aldatzen du paketeak bideratzetik harago. Bezero gisa router iragarkiak onartzen zituen ostalariak bide beretik uzten dio birbidaltzen hasten denean. Beraz, IPv6 estekak RAen mende dauden makinek esteka horretarako plan esplizitua behar dute.

Gero eman LANari tunelaren multzorainoko itzulera-bidea. Kargaren IPv6 atebidea LANeko routerra da, ez VPN zerbitzaria, beraz bidea router horretan dago eta zerbitzariaren LAN helbidera seinalatzen du:

ip -6 route add fd73:93bc:b6e9:77::/64 via fd73:93bc:b6e9:60::1

Mantendu estekak behar dituen ICMPv6 motak, bidearen MTU atzeraelikadura barne. IPv4 suebaki arau batek ez du IPv6 araurik esan nahi, eta IPv6 osorik blokeatzeak bizilagunen aurkikuntza hausten du bideratze hutsegitea dirudien moduan.

Bosgarren kontrol-puntua: irakurri bezeroa, gero probatu

Konektatu berriro bezeroa eta irakurri benetan jaso dituen helbideak, zerbitzariaren laguntzaile helbidetik ondorioztatu beharrean. Interfazearen zerrendak bi familiak erakusten ditu gailu berean:

ip -6 addr show tun0
ip -6 route get fd73:93bc:b6e9:60::20

Tunela aukeratzen duen bide batek frogatzen du bezeroak badakiela paketea nora bidali. Ez du frogatzen zerbitzariak birbidaltzen duenik, LANeko routerrak itzulera-bidea duenik edo aplikazioari erantzuteko baimena duenik.

Probatu aplikazioa bera familia bakoitzean txandaka, eta errepikatu berriro konektatu ondoren eta ostalaria berrabiarazi ondoren. Berrabiaraztera arte soilik irauten duen bide edo sysctl bat proba da, ez diseinua.

Argitaratu AAAA erregistroa IPv6 bideak muturretik muturrera erantzuten duenean soilik. IPv4 bidez egindako DNS kontsulta batek oraindik IPv6 helbide bat itzul dezake, beraz ebatz daitekeen izen bat ez da ezer entzuten ari den froga. RFC 4193 ULA gida aurrizki hauek zureak eta ez kopia bat egiten dituen ID globala sortzeari buruzkoa da.