IPv6-tûkfoarheaksel: iroute-ipv6 of route-ipv6 op de tsjinner?

Twa rjochtlinen mei hast deselde namme komme yn elk wurkjend foarbyld foar, en ien sûnder de oare kopiearje jout in tunnel dy't der goed útsjocht en it tûkfoarheaksel stil falle lit. Se dogge ferskillend wurk oan ferskate kanten fan deselde grins: ien leart de kearn fan de tsjinner wêr't in foarheaksel wennet, en de oare leart OpenVPN hokker autentisearre kliïnt it draacht. Krij beide goed en it foarheaksel streamt; krij ien goed en de pakketten hawwe in rûte mar gjin eigner.

Twa rjochtlinen, twa ferskillende taken

route-ipv6 is in gewoane rûte-ynstallaasje: de tsjinner foeget in kearnrûte ta dy't it foarheaksel nei syn tunnelinterface wiist. iroute-ipv6 heart by in kliïntspesifike kontekst en ferklearret yntern eignerskip, sadat de daemon wit dat ferkear foar dat foarheaksel nei in beskaat kliïnt stjoerd wurde moat ynstee fan nei wa't in kearnrûte tafallich neamt.

Ien giet oer de trochstjoertabel fan de kearn, de oare oer it ynterne rûtemodel fan de daemon. Se skieden hâlde ferklearret wêrom't in konfiguraasje dy't folslein liket it foarheaksel dochs falle litte kin. It ferklearret ek wêrom't itselde netwurk twa kear yn elk wurkjend foarbyld foarkomt. Gjin fan beide rigels is oerstallich.

Yn de tradisjonele userspace-opsje binne beide nedich en se folje elkoar oan. In kearnrûte allinnich lit de daemon gjin peer kieze. In iroute allinnich lit de kearn sûnder paad nei de tunnel. Dit is ek wêr't de measte betizing oer bestannen per kliïnt weikomt: it bestân is gjin rûtetabel-ynskriuwing, en de rûte-ynskriuwing is gjin eignerskipferklearring.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Wêr't elk heart

De rûte giet yn de behearde konfiguraasje fan de tsjinner, wêr't er foar dat tsjinnerproses jildt. De iroute giet yn it kliïntspesifike bestân dat neamd is nei de autentisearre identiteit fan it tûkapparaat.

In bestânsnamme dy't net oerienkomt mei de effektive identiteit wurdt nea lêzen, en it symptoom is identyk oan in ûntbrekkende iroute. Kontrolearje de identiteit dy't de tsjinner autentisearre hat, en kontrolearje dêrnei de bestânsnamme teken foar teken.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Hâld de pool en it tûkfoarheaksel skieden, want oerlaap skept in puzel dy't gjin rjochtline oplosse kin.

Wat in oare kliïnt nedich hat

In twadde kliïnt dy't dat tûk berikke moat, hat in oankundiging nedich, gjin eignerskip. Stjoer it foarheaksel nei de kliïnten dy'tsto bedoelst, yn de kliïnt- of groepskontekst dy't by dyn konfiguraasje past.

Stjoer it net nei it tûk sels, want dat apparaat hat it foarheaksel al as in ferbûn netwurk.

It nei elkenien stjoere is in kar mei gefolgen: elke kliïnt leaut dan dat it tûk troch de tunnel berikber is, ek kliïnten dy'tsto nea dy tagong jaan woe. Oankundigje is yn de praktyk in tagongsbeslút, ek al liket de rjochtline op liedingswurk. De referinsje foar tsjinneropsjes dokumintearret iroute-ipv6 as kliïntspesifiek eignerskip, en dat is it ûnderskied dat de muoite wurdich is om te hâlden.

It werompaad op it tûkapparaat

Eignerskip helpt allinnich as it tûk pakketten trochstjoert en syn LAN wit hoe't it antwurdzje moat. Skeakelje IPv6-trochstjoering yn op it tûkapparaat, en befêstigje dat hosts op syn LAN ferkear foar de VPN-pool werom nei it tûk stjoere ynstee fan nei in standertrûte dy't de pool net ken.

Dat werompaad is it IPv6-ekwivalint fan it ûntbrekkende-rûte-probleem dat minsken mei IPv4 treffe.

Kontrolearje it fan in LAN-host mei in opsochting foar it VPN-pooladres, net fan it tûk sels. In opsochting op 'e router beantwurdet in oare fraach as dy fan dyn brûkers, en de twa binne faak genôch net iens om it ekstra kommando de muoite wurdich te meitsjen.

Wannear't it pear noch net genôch is

Guon ynsetten brûke dit paad hielendal net. It kearn-datapaad en produktbehearde tsjinners hawwe har eigen stipe rûteôfhanneling, en in userspace-foarbyld fertaalt miskien net direkt.

Befêstigje hokker datapaad dyn build brûkt foardatsto rjochtlinen kopiearret út in hantlieding dy't foar de oare skreaun is.

Tink ta beslút oan it adresberik: in unyk lokaal foarheaksel lykas fd00:7a::/64 is fan natuer privee en seit neat oer iepenbiere IPv6-berikberens. Behannelje it as ynterne tagong, en hâld internetútgong in aparte fraach mei syn eigen belied.