IPv6 esteka lokaleko helbidea ez dabil VPN bidez: zergatik geratzen da fe80 estekan
fe80:: helbide batek esteka bakarrean besterik ez du esanahirik. Ikusi zergatik ezin duen bideratutako VPN batek eraman, nola agertzen den huts egitea eta zein helbide erabili behar duzun haren ordez.
Tunela altxatzen duzu, fe80::1 helbidera ping egiten duzu tunela iturburu-interfaze gisa hartuta, eta ez da ezer itzultzen. Ez da ahaztu duzun suebaki-araua. Esteka lokaleko helbide batek esteka bakarrean besterik ez du esanahirik, eta bideratutako VPN bat ez da esteka hori. Urruneko routerraren fe80::1 helbidea urruneko LAN segmentuan bizi da; zu jauzi bat urrunago zaude beste segmentu batean, eta IPv6k ez du router batek esteka lokaleko paketeak inola ere birbidal ditzan mekanismorik.
fe80 aurrizkiak irismena deskribatzen du, ez tartea
Esteka lokala unicast-a fe80::/10 da, eta definitzen duen propietatea ez da zenbakia, irismena baizik. Helbidea esteka bakarrean baino ez da baliozkoa, eta interfaze bakoitzak bat eratzen du bere identifikagailutik; horregatik elkarreraginik gabeko bi sareko bi makina bereiztuk fe80::1-i erantzun diezaiokete inolako gatazkarik gabe. Aurrizkiak funtsean «nolabaiteko estekan» esaten du; esteka bera testuingurutik dator.
Ostalari batean, testuinguru hori eremua da, edo irismenaren IDa, ehuneko zeinuaren ondoren eransten diozuna: fe80::1%eth0 Linuxen, fe80::1%3 edo fe80::1%12 Windowsean eta interfaze-indizeak erakusten dituzten tresnetan. Nukleoak helbidea interfaze-indizearekin batera ebazten du eta gero bidaltzen du. Eremua kenduz gero, helmuga anbiguoa da, beraz pilak ez du segmenturik aukeratzeko modurik.
Zergatik ezin duen bideratutako tunelek hura entregatu
Bideratutako VPN bat puntutik punturako interfaze bat da, bere helbideak daramatzana, normalean tuneleko IPv6 espazio bakar-lokala edo pribatuaren /64 bat. Urruneko LAN esteka bereizi bat da, tunelaren muturrak zure izenean bideratzean eta birbidaltzean lortzen dena. Bi segmentu desberdin dira, beraz baten helbidea ez da bestearen helmuga baliozkoa.
Birbidaltze-araua estandarrean dago espresuki, ez da zure bezeroaren berezitasuna: routerrek ez dituzte birbidaltzen jatorri edo helmuga esteka lokaleko duten paketeak. Horregatik hiltzen da paketea bideratze-taula zuzena dirudienean ere. Gehitu fe80::/64-rako bide bat tunelera eta estandarra betetzen duen pilak edo baztertu egingo du edo onartu eta bat datorren pakete guztia baztertuko du: helmugaren irismenak «esteka hau soilik» esaten du, eta irteerako interfazea ez da esteka hori.
Bizilagunen aurkikuntzak muga bera indartzen du. Ostalariek esteka lokaleko hurrengo jauziak ebazten dituzte esteka-irismeneko multicast-era bidalitako bizilagun-eskaerarekin, 255eko jauzi-mugarekin, routerrek birbidalitako edozer baztertu ahal izan dezaten. Hori tuneletik funtziona dezan, urruneko segmentu baterako aurkikuntza proxyan egin beharko litzateke, hau da, 2. geruzako zubia beste kapela batekin.
Bigarren huts egite isilago bat dago, eta bidea indarrez ezarri nahi dutenak behaztopatzen ditu: eremua. Lokalki idazten duzun edozein eremuk tunelaren interfazea izendatzen du, nahi duzun helbidea urruneko LAN-interfazean lotuta dagoen bitartean. Biak ez dira inoiz bat etortzen, beraz paketea ezin da interfaze egokira bideratu urruneko muturrean.
Nola agertzen den huts egitea praktikan
Irismen-errore baten tresnen irteerak bideratze- edo suebaki-errore gisa irakurtzen dira, eta horregatik hain zuzen pasatzen dute jendeak arratsalde bat geruza okerrean.
| What you run | What you see | What it means |
|---|---|---|
| ping fe80::1 with no zone | Invalid argument on Linux, or a transmit failure on Windows | The stack cannot pick an interface for an ambiguous destination |
| ping -6 -I tun0 fe80::1 | Destination unreachable, or a silent timeout | The address is not on the tunnel link, so there is nothing on-link to answer |
| ssh user@fe80::1 after the tunnel is up | Hangs, then no route to host | The SYN never left the machine in a deliverable form; the server logs nothing |
| ip -6 neigh show dev tun0 | Empty table | No neighbor entry can exist for a link-local host that is not on this link |
| fe80::/64 inside AllowedIPs or route-ipv6 | Config accepted, traffic still dropped | The tunnel carried the packet; the receiving stack refused to forward it |
Hirugarren errenkadak galtzen du denbora gehien, irteerarik gabeko ssh bezeroa entzuten ari den zerbitzu baten arazoa dirudielako. Sarbideren bat baduzu, begiratu urruneko aldea eta egiaztatu sshd helbide guztietara ala batera soilik lotuta dagoen.
Erabili bideratzeko pentsatuta zegoen helbide bat
Tunelaren bidez iritsi behar duzun edozertarako, erabili zerbitzuari horretarako eman zitzaion helbidea: unicast globaleko helbide bat, edo fc00::/7-tik datorren helbide bakar-lokal bat, barne-kasu honetarako zehazki gordetako tartea. Egiaztatu entzuleak benetan lotzen duela, eta egiaztatu itzulera-bidea eta ostalariaren suebaki-arau oro.
Begiratu urruneko ostalaria asmatu beharrean. ip -6 addr show-ek existitzen diren helbideak zerrendatzen ditu, eta ss -6 -ltn-ek daemonak zer entzuten duen. fe80:: soilik lotutako zerbitzua bere segmentutik baino ezin da iritsi, eta hori normalean inork nahita aukeratu ez zuen lehenetsitako ezarpena da, administratzailearen onespenarekin alda daitekeena.
Zerbitzua benetan berriro ezin lotu bada, igo zubia aplikazio-geruzara sare-geruzara beharrean. Urruneko ostalarian bideragarri den helbide batean entzuten eta esteka lokaleko helbidera konektatzen den errepikagailu batek arazoa konpontzen du segmenturik zabaldu gabe:
socat TCP6-LISTEN:8080,bind=[fd00:1:2::10] TCP6:[fe80::1%eth0]:80Hemen eremua alde egokian dago, esteka horretan benetan eth0 duen ostalarian. Zure bezeroak fd00:1:2::10-rekin hitz egiten du, normal bideratzen dena, eta errepikagailuak esteka lokaleko jauzia lokalki egiten du. Trikimailu bera funtzionatzen du gailu baten web interfazearentzat edo esteka lokaleko helbidea soilik iragartzen duen BMC zahar batentzat.
Noiz da zubia benetan erantzuna, eta zer egiaztatu
Hedapen batzuek benetan segmentu partekatu bat behar dute: esteka lokaleko aurkikuntza soilik hitz egiten duen gailua, multicast-en menpe dagoen aparatua, LAN laua erreproduzitzen duen laborategia. Hori 2. geruzako arazoa da eta 2. geruzako erantzuna behar du, adibidez urruneko interfazera zubitutako tap gailu bat edo zubi modu esplizitua duen bezero-produktu bat. Tunela zeharkatzen duen broadcast eta multicast trafikoak eta muturretik muturrera funtzionatu behar duen bizilagunen aurkikuntzak kostatzen dizute.
Ez hurbildu fe80::/64 profil bideratu bati gehituta. Horrek egoera okerrena sortzen du: konfigurazioa amaituta dirudi, bideratze-taulak sarrera bat erakusten du, eta pakete bakoitza oraindik nonbait baztertzen da zuzen jokatzen ari diren bi pilen artean.
Egiaztatu interfazearekin, ez ping-arekin. ip -6 addr show tun0-k esaten dizu tunelaren estekak bere esteka lokaleko helbidea eratu duen, eta ip -6 route get fe80::1%tun0-k zer egingo lukeen nukleoak irismeneko helmuga batekin. Nukleoak helmuga interfaze horretan iristezina dela esaten duenean, tunelaren ezarpen batek ere ez du hori aldatuko, eta profila editatzen uzteko ordua da.
Galdera argitzen duen sekuentzia laburra:
- Irakurri helbidea urruneko ostalarian eta ohartu fe80:: ala aurrizki bideragarria den.
- fe80:: bada, lotu zerbitzua berriro, errepikatu ostalari horretan edo zubitu segmentua; bideragarria bada, zuzendu bidea, suebakia edo lotze-helbidea.
- Berrikusi eremua proba bakoitzean, kopiautako komando bat normalean interfaze okerra gordetzen baitu.
Iturriak: RFC 4291, IPv6 helbideratze-arkitektura.