IPv6 irteera hiltzen da OpenVPN berrabiarazi ondoren: egiaztatu prefijoaren jabetza
IPv6 hiltzen da tunela berriro sortzen denean. Erabaki nor den prefijo delegatuaren, bezeroen helbideen eta itzulera-bidearen jabea ezer berrabiarazi aurretik.
IPv6-k trafikoa igortzeari uzten dio OpenVPN berrabiarazten den unean, eta IPv4-k funtzionatzen jarraitzen du. Tunelaren interfazea berriro sortu da, eta haren IPv6 egoera kudeatzen zuen beste zerbait-ek helbidea galdu du edo prefijoa irisgarri egiten duen bidea galdu du. Hiru egoera-zati bereizi daude tartean, eta bakoitzak jabe desberdina du: hornitzailearen prefijo delegatua eta haren iraupena, VPN bezeroei emandako helbideak, eta bezeroaren prefijo hori zerbitzarira itzultzen duen gorako bidea. Egiaztatu bakoitzaren jabea edozein daemon ukitu aurretik, okerra berrabiarazteak arazoa egun batez ezkutatzen baitu eta hurrengo konexioan itzultzen baitu.
IPv6 egoeraren hiru zati, hiru jabe
| State | Typical owner | What breaks when it is wrong |
|---|---|---|
| Delegated prefix and lifetime | Upstream router or provider via DHCPv6-PD | Clients keep addresses that the upstream no longer routes |
| Client addresses inside the tunnel | OpenVPN server config or a delegation daemon | No global address, or an address outside the routed prefix |
| Return route for the client prefix | Upstream router, or the server's own routing table | Outbound works, replies never arrive |
Tunelaren barruko eremu globaleko helbide bat ez da nahikoa bere horretan. Gorako bideratzaileek prefijo hori VPN zerbitzarira itzuli behar dute oraindik, eta ez dute egingo zerbitzariak halabeharrez hartatik helbide bat duelako.
Horregatik da arriskutsua /64 publiko bat tunel-putzu batean kopiatzea. Zerbitzarira bideratutako prefijo bat ez da berdin gorako aldeak on-link gisa tratatzen duen prefijo bat, eta bizilagunen aurkikuntzak ez du hutsune hori beteko.
Irakurri zerbitzariaren egoera ezer aldatu aurretik
Hartu egoera bi aldiz, behin IPv6-k funtzionatzen duenean eta behin berrabiarazi ondoren, eta gero alderatu. Irakurtzeko soilik diren ikuspegiei nahikoa da, eta ez dute ezer kostatzen mantentze-leiho batean:
ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwardingBilatu hiru desberdintasun zehatz: desagertu den bide bat, iraupen zaharkitu edo baliogabera pasatu den helbide bat, eta berredlegatu ondoren aldatu den prefijo bat, VPN konfigurazioak zaharra iragartzen jarraitzen duen bitartean.
Helbidea desagertu bada baina prefijoa aldatu gabe badago, hura esleitzen duen daemonak interfazea kudeatzeari utzi dio. Prefijoa aldatu bada baina helbideak ez, bezeroaren konfigurazioa zaharkituta dago. Bi hutsegiteek berdin dirudite arakatzaile batetik eta ez dute ezer komunik.
Erabaki dhcpcd-k tunela kudeatu behar duen
dhcpcd-k interfazeak aurkitu eta DHCPv6 prefijo baten zatiak beherako interfazeetara delegatu ditzake, eta haren konfigurazioak delegazio-helburuak espresuki izenda ditzake. Helburu espresurik gabe, haren portaera dokumentatuak beste interfaze batzuk uki ditzake, eta horrela lortzen du tunel batek inork planifikatu ez zuen helbide bat.
Bi baldintzak bultzatu beharko zaituzte OpenVPN-i tunelaren helbideratze estatikoa uztera: zerbitzariak helbide finkoak bultzatzen ditu bere konfigurazioan, eta tunelaren izena aldatzen da berriz konektatzean. Biak betetzen badira, baztertu tunela delegazio-daemonetik nahita, zergatia dioen iruzkin batekin.
Tunelera delegatzea nahita egiten bada ordea, inplementatu prefijo-aldaketaren kudeaketa. Horrek esan nahi du erreakzionatzea prefijo delegatua edo haren iraupena aldatzen denean, zerbitzariak iragarritako bezero-prefijoa eguneratzea, eta bidea berriro gehitzea. Diseinu horretan interfazea baztertzeak prefijo berria ezagutzen duen osagai bakarra kentzen du.
dhcpcd berrabiarazteak gauzak konpontzen dituela eman dezake, egoera berriro sortzen duelako, baina pentsatzen ez zenituen interfazeen konfigurazioa ere berritzen edo kentzen du. Berreskuratze horrek ez du VPN berrabiarazte bakoitzaren ondorengo betebehar bihurtzen. Erabiltzen ari zinen kontagailuak ere berrezartzen ditu. Hobetsi benetan aldatu duzun interfazearen berriz karga zehatza.
Egiaztatu IPv6 IPv4 NAT-tik bereizita
Berretsi birbidalketa gaituta dagoela eta gorako bideak benetako bezero-prefijoari erakusten diola, eta gero egin baimendutako IPv6 konexio berri bat. Egiaztatu bezeroaren beraren IPv6 bide-taula ere, helbide publikoa erakusten duen bezero batek ez baitu frogatzen haren eskaerak tunela erabili zuenik.
IPv4 maskaratzeak beste arazo bat konpontzen du: iturburu pribatuen itzulera-bidea. Ez du ezer egiten kendutako IPv6 prefijo batentzat, eta haren gehitzeak ez du IPv6 itzuliko.
Amaitu jabetza-erregistroarekin: zein osagaik delegatzen duen prefijoa, zeinek esleitzen dituen bezero-helbideak, zeinek mantentzen duen itzulera-bidea, eta zer gertatzen zaien bakoitzari berriz konektatzean. Runbook bateko lau lerrok hurrengo pertsonari hiru daemon berrabiaraztea aurrezten diote axola zuen hura aurkitzeko.