IPv6-haaran etuliite: iroute-ipv6 vai route-ipv6 palvelimella?

Kaksi lähes samannimistä direktiiviä esiintyy jokaisessa toimivassa esimerkissä, ja toisen kopioiminen ilman toista tuottaa tunnelin, joka näyttää oikealta ja pudottaa haaran etuliitteen hiljaa. Ne tekevät eri työt saman rajan eri puolilla: toinen opettaa palvelimen ytimelle, missä etuliite sijaitsee, ja toinen kertoo OpenVPN:lle, mikä autentikoitu asiakas sen kuljettaa. Kun molemmat ovat oikein, etuliite virtaa; kun vain toinen on oikein, paketeilla on reitti mutta ei omistajaa.

Kaksi direktiiviä, kaksi eri työtä

route-ipv6 on tavallinen reitin asennus: palvelin lisää ytimen reitin, joka osoittaa etuliitteen sen tunneliliitännäiseen. iroute-ipv6 kuuluu asiakaskohtaiseen kontekstiin ja ilmoittaa sisäisen omistajuuden, joten daemon tietää, että kyseisen etuliitteen liikenne pitää lähettää tietylle asiakkaalle sen sijaan, että se menisi mille tahansa vertaiselle, jonka ytimen reitti sattuu nimeämään.

Toinen koskee ytimen edelleenlähetystaulua, toinen daemonin sisäistä reititysmallia. Niiden erillään pitäminen selittää, miksi täydelliseltä näyttävä kokoonpano voi silti pudottaa etuliitteen. Se selittää myös, miksi sama verkko esiintyy kahdesti jokaisessa toimivassa esimerkissä. Kumpikaan rivi ei ole tarpeeton.

Perinteisessä käyttäjäavaruuden asetuksessa molempia tarvitaan ja ne täydentävät toisiaan. Pelkkä ytimen reitti jättää daemonin kyvyttömäksi valita vertaista. Pelkkä iroute jättää ytimen ilman polkua tunneliin. Tästä syntyy myös suurin osa asiakaskohtaisten tiedostojen sekaannuksesta: tiedosto ei ole reititystaulun merkintä, eikä reittimerkintä ole omistajuusilmoitus.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Mihin kumpikin kuuluu

Reitti menee palvelimen hallittuun kokoonpanoon, jossa se koskee kyseistä palvelinprosessia. iroute menee asiakaskohtaiseen tiedostoon, joka on nimetty haaran laitteen autentikoidun identiteetin mukaan.

Tiedostonimeä, joka ei vastaa tehokasta identiteettiä, ei koskaan lueta, ja oire on sama kuin puuttuva iroute. Tarkista identiteetti, jonka palvelin autentikoi, ja tarkista sitten tiedostonimi merkki merkiltä.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Pidä allas ja haaran etuliite erillään, sillä niiden päällekkäisyys luo pulman, jota mikään direktiivi ei ratkaise.

Mitä toinen asiakas tarvitsee

Toinen asiakas, jonka pitäisi päästä kyseiseen haaraan, tarvitsee mainoksen, ei omistajuutta. Työnnä etuliite asiakkaille, joille sen haluat, kokoonpanoosi sopivassa asiakas- tai ryhmäkontekstissa.

Älä lähetä sitä itse haaralle, koska kyseisellä laitteella etuliite on jo kytkettynä verkkona.

Kaikille lähettäminen on valinta, jolla on seurauksia: jokainen asiakas uskoo silloin, että haara on tavoitettavissa tunnelin kautta, mukaan lukien asiakkaat, joille et koskaan aikonut myöntää sitä pääsyä. Mainostaminen on käytännössä pääsypäätös, vaikka direktiivi näyttää putkityöltä. palvelimen asetusten viite dokumentoi iroute-ipv6 asiakaskohtaiseksi omistajuudeksi, ja juuri se on säilyttämisen arvoinen ero.

Paluupolku haaran laitteella

Omistajuus auttaa vain, jos haara välittää paketteja ja sen lähiverkko osaa vastata. Ota IPv6-edelleenlähetys käyttöön haaran laitteella ja varmista, että sen lähiverkon isännät lähettävät VPN-altaan liikenteen takaisin kohti haaraa eivätkä kohti oletusreittiä, joka ei tunne allasta.

Tuo paluupolku on IPv6-vastine puuttuvan reitin ongelmalle, johon ihmiset törmäävät IPv4:n kanssa.

Tarkista se lähiverkon isännästä VPN-altaan osoitteen hakuna, ei haaralta itseltään. Reitittimellä tehty haku vastaa eri kysymykseen kuin se, jota käyttäjäsi esittävät, ja ne ovat riittävän usein eri mieltä, jotta ylimääräinen komento kannattaa.

Kun pari ei vieläkään riitä

Jotkin käyttöönotot eivät käytä tätä polkua lainkaan. Ytimen datapolulla ja tuotehallituilla palvelimilla on oma tuettu reitinkäsittelynsä, eikä käyttäjäavaruuden esimerkki välttämättä käänny suoraan.

Varmista, mitä datapolkua koontiversiosi käyttää, ennen kuin kopioit direktiivejä toiselle kirjoitetusta ohjeesta.

Muista lopuksi osoitealue: fd00:7a::/64 kaltainen yksilöllinen paikallinen etuliite on suunnittelultaan yksityinen eikä kerro mitään julkisesta IPv6-tavoitettavuudesta. Käsittele sitä sisäisenä pääsynä ja pidä internet-egress erillisenä kysymyksenä, jolla on oma käytäntönsä.