IPv6 planifikatzea bi guneko WireGuard zentro baterako: aurrizkia, parekoak, ibilbideak

Bi LAN, WireGuard zentro bat eta hiru galdera bereiziri erantzun behar dien IPv6 helbide plana: zein aurrizki, zein helbide dagokion bideratzaile bakoitzari eta zein parekok duen zein azpisare. Haietako bat oker badago, eskua ematen duen baina ezer bideratzen ez duen tunela lortzen da. Beheko planak bi guneko diseinu pribatu bat lantzen du ordena horretan. Ez du nahita IPv6 bidezko internet sarbiderik ematen.

Erabaki zertarako den aurrizkia

fd00::/8-tik datorren aurrizki lokal bakarra da aukera naturala, helburua guneen arteko konektibitate pribatua denean. Egonkor mantentzen da kokapen bakoitzari zein hornitzailek ematen dion zerbitzua kontuan hartu gabe, eta ez da bideratze taula globalean iragartzen, beraz ezin du zure barne-zenbakitzea internetera filtratu.

Propietate bera da muga. ULA batek ez du itzulera-bide publikorik ematen, ez baitu goi-korronte batek ere ez daki zure atebidera bideratu behar duenik. Baldintzak IPv6 bidezko internet irteera barne hartzen badu, behar duzu bidalketa bat zuregana bideratzen duen hornitzaile batena, eta hori diseinu-erabaki bereizia da, bere aurrizki-tamainarekin.

Ez pentsa inplementazio bakoitzak /48 bat behar duenik. RFC 6177 amaierako gunearen tamaina derrigorrezko bakarretik urrundu zen, eta tamaina egokia kudeatuko dituzun sare kopuruaren araberakoa da. Sortu ULA RFC 4193 prozedurarekin, beste erakunde batek ere erabil lezakeen aurrizki bat asmatu ordez. Idatzi emaitza helbide planean edozein gailu konfiguratu aurretik, inork erregistratu ez duen aurrizki bat norbaiti berrerabiliko dion aurrizkia baita.

Zatitu aurrizkia roletan

Beheko adibideak fd7c:2e91:4a00::/48 erabiltzen du, eta taula bloke bakoitza non idazten den arabera antolatuta dago, ez guneka. Erabili balioak lagin gisa eta sortu zureak ezer inplementatu aurretik.

LAN blokeak /64 dira, SLAAC arruntak 64 biteko interfaze-identifikatzailea espero duelako. LAN bat bloke txikiagoetan zatitzeak suposizio hori apurtzen du ostalari gehienetan, eta ustiapen-kostua ez da helbide-aurrezpenaren parekoa plan pribatu batean. Bi LAN blokeak /48-ren erditik datoz, behe-maila gune berrietarako libre utzita.

Tunel helbideak administrazio-hornidura bat dira, ez estekan dagoen sare bat. Interfaze bakoitzak /128 bakarra jasotzen du handik, beraz ostalariek ez dute tunelean partekatutako azpisarerik suposatzen eta auzokideen aurkikuntza ez da behar ez den tokian exekutatzen. Euts iezaiezu rolei bereizita eta erregistratu erakundearen helbide planean, geroagoko gune batek blokea berrerabil ez dezan.

Eman bideratzaile bakoitzari tunel helbide bat

Esleitu /128 bat bideratzaileko eta mantendu lanean ari den zentroaren gako eta mutur puntuak. Beheko hiru balioek ostalari zatian soilik dute aldea.

Hub:    Address = fd7c:2e91:4a00:ff00::1/128
Site A: Address = fd7c:2e91:4a00:ff00::2/128
Site B: Address = fd7c:2e91:4a00:ff00::3/128

/128 horrek interfaze horri esleitutako helbide bakarra deskribatzen du. Ez du ezer esaten parekoak zenbat helmuga bidera ditzakeen, irisgarritasuna AllowedIPs-en adierazten baita, ez interfazearen aurrizkian.

Guneko bideratzaile bakoitzak bere LAN blokean helbide bat eta hura banatzeko modu bat ere behar ditu, normalean bideratzaile-iragarkiak SLAAC-erako. WireGuard-ek ez ditu iragarki horiek zure ordez bidaltzen, eta ez ditu bi LANak zubiztatzen. Guneko bideratzailea bi noranzkoetan da bideratzailea.

Jarri azpisarearen jabetza AllowedIPs-en

A gunerako zentroaren pareko sarrerak A-ren tunel helbidea eta A-ren LANa ditu, eta parekatze hori da jabetza-adierazpen osoa. Pareko atal horretan beste ezerk ez du gunerik deskribatu behar.

AllowedIPs = fd7c:2e91:4a00:ff00::2/128, fd7c:2e91:4a00:10::/64

B gunerako pareko sarrerak dagokion bikotea du, eta hemen simetriak laburtasunak baino gehiago balio du. Irakurri bi lerroak elkarrekin eta jabetza-zatiketa begi-kolpe batez ikusten da.

AllowedIPs = fd7c:2e91:4a00:ff00::3/128, fd7c:2e91:4a00:20::/64

Bi pareko atal bereizi dira, ez pareko bakar baten lehian aritzen diren bi zerrenda. WireGuard-ek AllowedIPs bi noranzkoetan erabiltzen du: irteerako helmuga baterako parekoa aukeratzen du, eta deszifratu duen parekoari esleitutako barrutiarekin bat ez datorren iturburua duen sarrerako paketea ukatzen du. /48 osoa bi parekoei emateak bigarren egiaztapen hori desgaituko luke eta zein gunek zein bloke duen lausotuko luke. Bereizketa horrek egiten du iturburu-helbide okerra ikusgai, isilpean onartu beharrean.

Gune bakoitzak bere zentro parekoaren bidez irisgarri diren helmugak soilik behar ditu: A gunekoak zentroaren helbidea, B guneko tunel helbidea eta B-ren LANa zerrendatzen ditu, eta B gunekoak multzo bikoiztua zerrendatzen du. Zerrendak nahita asimetrikoak dira, bideratzaile bakoitzak topologiaren alde desberdin bat ikusten baitu. Idatzi biak helbide planetik, ez beste gunearen konfiguraziotik, horrela irauten baitu barruti zaharkitu batek berrizendatze bat.

wg-quick-ekin, barruti hauek ibilbideak ere sortzen dituzte. systemd-networkd edo eskuzko konfigurazioarekin, gehitu ibilbide baliokideak zuk zeuk; bestela tunelek nukleoak inoiz bertara bidaltzen ez dituen paketeak darama.

Osatu aurreratzea eta probatu bi noranzkoak

Gaitu IPv6 aurreratzea zentroan eta bi guneko bideratzaileetan, eta baimendu beharrezko gune arteko zerbitzuak aurreratze-politikan. Mantendu ICMPv6 Packet Too Big mezuak erabilgarri, haiek botatzeak bideko MTU aurkikuntza hausten baitu eta aplikazio-erroreak ematen dituzten transferentzia handiko geldialdiak sortzen. Suhormaren baimenik gabe aurreratzen duen zentro batek paketea bideratzearen eta tunelaren artean botatzen du. Hutsegite modu hori ezagutzea merezi du, tunela zutik geratzen baita eta fluxu batzuk soilik hiltzen dira.

sysctl net.ipv6.conf.all.forwarding
ip -6 route
ping -6 -c 3 fd7c:2e91:4a00:20::1

Probatu A guneko ostalari batetik B guneko ostalari batera eta gero kontrako noranzkoan. Zentroaren tunel helbidera egindako ping batek lehen jauzia soilik lantzen du eta arrakasta izango du LAN ibilbideak oker dauden arren. Ostalari arteko fluxua da plana frogatzen duena.

Kanpoko WireGuard konexioa IPv4 gainean ibil daiteke barne trafikoa IPv6 den bitartean, eta independentzia hori baliagarria da migrazioan zehar. Geroago IPv6 irteera globala gehitzen bada, berrikusi hornitzailearen esleipena, iturburu-helbidearen hautaketa eta itzulera-bideratzea diseinu-urrats berri gisa; goiko plan pribatuak baliozkoa izaten jarraitzen du gune arteko trafikoarentzat.