Zergatik ezin dio zure GCP VM-ak OpenVPN IPv6 poolari erantzun

Zure IPv6 VPN bezeroa kargara iristen da, kargak tunelera erantzuten du, eta erantzuna ez da inoiz iristen. Lehen bulkada suebakia edo tunela erruduntzea da, eta normalean ez da bat ere errudun. OpenVPNek ematen duen helbidea tunelaren barruan soilik existitzen den barne sare bat da; Google Cloudek ez daki fd42:90::/64 VM jakin baten atzean egon behar denik, zuk esaten diozun arte.

Bi sistema berezik gertaera hori ikasi behar dute, eta horietako bat baino ez da OpenVPN. VPCk bide bat behar du ezer atzera bidali aurretik, eta VMari iristen dena birbidaltzeko baimena eman behar zaio. Edozein erditan huts eginez gero, sintomak berdin dirudi.

Poola barne sare bat da, ez azpisare bat

OpenVPNek zuk aukeratutako tarte batetik IPv6 helbideak eman ditzake, eta tarte hori tunelaren bi muturrek adosten duten fikzio bat da. Ez da Google Cloud azpisare bat, ez da VPCren azpisare zerrendan agertzen, eta VMaren sare interfazeak ez ditu helbide horiek lortzen. Beraz, bezeroari erantzuten dion kargak sareak bideraezintzat jotzen duen helbide batera bidaltzen du paketea.

Eduki poola VPCk jadanik erabiltzen duen tarte guztietatik kanpo. Eduki ezazu zure beste tuneletako tarteetatik kanpo ere. Gainjartzeak bideratze hutsegite garbia noizean behineko bihurtzen du, kargapean soilik agertzen dena.

fd42:90::/64 bezalako helbideratze lokal bakarra aukera zentzuzkoa da barne sare honetarako. Aurrizkiak diseinua berez pribatua dela gogorarazten du. ULA pool batean ezerk ez du internet publikoan iturri legitimo bihurtzen.

Eman VPCri helmuga eta hurrengo jauzia

Erantzunak VPC bide bat behar du, zeinaren helmuga poola eta hurrengo jauzia VPN VMa diren. Egungo bide estatikoen dokumentazioak IPv6 helmuga tarteak hartzen ditu eta zein hurrengo jauzi mota diren hautagarri zerrendatzen du, beraz egiaztatu zure topologiarako onartutako forma, IPv4 adibide zahar bat kopiatu beharrean.

Hurrengo jauziko helbidea instantzieren hodeiko interfazeari benetan esleitutakoa izan behar da. VMaren barne tunel helbidea ez da helbide hori. Hala ere erabiltzeak garbi instalatzen den eta inoiz pakete batekin bat egiten ez duen bide bat sortzen du. Irakurri interfazeen zerrenda bidea idatzi aurretik.

Bidearen lehentasuna berak bezain garrantzitsua da. Azpisare bideak zuk gehitutako bide pertsonalizatuak baino zehatzagoak dira, beraz lehendik dagoen azpisare tarte batetik moztutako pool bat azpisare bidearen aurka galduko da, bide pertsonalizatua nola idatzita egon ere. Aukeratu pool bereizi bat, eta gero egiaztatu bideak instanzia hurrengo jauzi eta helmuga aurrizki zuzena erakusten dituela:

gcloud compute routes create vpn6-return \
  --network=vpn-vpc \
  --destination-range=fd42:90::/64 \
  --next-hop-instance=openvpn-vm \
  --next-hop-instance-zone=europe-west1-b

Birbidalketa bitan gaitu behar da

Bide batek paketea instanziari ematen dio. Ez du instanzia berari zuzenduta ez dagoen zerbait birbidaltzeko prest jartzen, eta baimen hori bi mailatan existitzen da.

Hodeiko aldeak instanziaren birbidalketa gaitasuna gaituta behar du; hau da VM batek bereak ez dituen helbideetarako trafikoa jasotzeko eta pasatzeko aukera ematen duen ezarpena. Ostalari aldeak bere IPv6 birbidalketa behar du, nukleoak paketea iritsi ondoren erabaki bereizia hartzen baitu. Biek piztuta egon behar dute erantzun bakar batek tunela zeharkatu aurretik.

sysctl -w net.ipv6.conf.all.forwarding=1

Ondoren suebaki arauek barne iturri tartea bi norabideetan onartu behar dute. Google Cloudek deskapsulatutako paketea ebaluatzen du, beraz VPC azpisarea soilik estaltzen duen arau batek poolaren trafikoa baztertzen du tunela dagoeneko arrakastatsua izan ondoren. Gehitu poola sarrera arauaren iturri tarte gisa, eta egiaztatu irteera politika pertsonalizaturik ez duela erantzuna blokeatzen. Inplizitutako baimen arauak lehenetsitako kasua estaltzen du, eskuz idatzitako irteera arauak ez.

Esan OpenVPNri nork zer duen

OpenVPNek bezero bati birbidaltzen dio bezero horrek helmuga duela dakienean. Poletik datozen bezero helbideak poola definitzen duen zerbitzari direktibak kudeatzen ditu, baina bezero baten atzeko azpisarea beste antolaketa bat da eta bezero horrentzako jabetza sarrera esplizitua behar du.

Biak nahasteak tunel bat sortzen du non zerbitzarirako pingek funtzionatzen duten eta haren atzeko ezerk ez. Erabaki zein kasu eraikitzen ari zaren, eta gero idatzi dagokion sarrera, bigarren push lerro bat gehitu eta espero izan beharrean.

Eduki internet irteera diseinu honetatik kanpo

Sarbide pribatua eta internet sarbidea plan bereiziak dira. ULA pool batek VPC karguetara tunelaren bidez irits daiteke bideratzea eta birbidalketa ados daudenean, eta pool horrek berak ez du internet publikorako biderik VPC bidez, hodeiko atebideak ez baitu tunel iturri arbitrariorik bere gain hartuko.

Bezeroek internet irteera ere behar badute, planifikatu horretarako onartutako helbideratze eta bideratze diseinu bat, eduki poola pribatuarekiko independente, eta probatu bi bideak bereizita. Bide batek ondo funtzionatzeak ez du ezer esaten besteaz, eta biak nahasten dituen diseinuak tunel hautsia ematen duen moduan huts egiten du.