IPv6-útgong stjert nei in herstart fan OpenVPN: kontrolearje wa’t it foarheaksel hat
IPv6 stjert nei’t de tunnel opnij makke is. Beslis wa’t it delegearre foarheaksel, de klientadressen en de weromrûte hat foardat jo wat herstarte.
IPv6 hâldt op mei ferkear troch te litten op it momint dat OpenVPN herstartet, en IPv4 bliuwt wurkjen. De tunnelinterface is opnij makke, en eat oars dat syn IPv6-steat behere, is it adres kwyt of de rûte kwyt dy’t it foarheaksel berikber makket. Der binne trije aparte stikken steat belutsen, en elk hat in oare eigner: it delegearre foarheaksel fan de provider en syn libbensdoer, de adressen dy’t oan VPN-klanten jûn wurde, en de opstreamse rûte dy’t dat klintfoarheaksel werom nei de tsjinner stjoert. Identifisearje de eigner fan elk foardat jo in daemon oanreitsje, want it ferkearde herstarten ferstoppet it probleem foar in dei en bringt it werom by de folgjende ferbining.
Trije stikken IPv6-steat, trije eigners
| State | Typical owner | What breaks when it is wrong |
|---|---|---|
| Delegated prefix and lifetime | Upstream router or provider via DHCPv6-PD | Clients keep addresses that the upstream no longer routes |
| Client addresses inside the tunnel | OpenVPN server config or a delegation daemon | No global address, or an address outside the routed prefix |
| Return route for the client prefix | Upstream router, or the server's own routing table | Outbound works, replies never arrive |
In adres mei wrâldwiid berik binnen de tunnel is op himsels net genôch. Opstreamsrouters moatte dat foarheaksel noch hieltyd werom nei de VPN-tsjinner stjoere, en se sille dat net dwaan om’t de tsjinner tafallich in adres derfan hat.
Dêrom is it ek riskant om in iepenbier /64 yn in tunnelpool te kopiearjen. In foarheaksel dat nei de tsjinner rûte wurdt, is net itselde as in foarheaksel dat de opstream as on-link behannelet, en buorrelading sil dat gat net folje.
Lês de steat fan de tsjinner foardat jo wat feroarje
Fetsje de steat twa kear, ien kear wylst IPv6 wurket en ien kear nei de herstart, en fergelykje dan. Allinnich-lêzen bylden binne genôch, en se kostje neat yn in ûnderhâldsfinsters:
ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwardingSykje trije spesifike ferskillen: in rûte dy’t ferdwûn is, in adres dat nei in ferâldere of ûnjildige libbensdoer ferhuze is, en in foarheaksel dat nei nije delegaasje feroare is wylst de VPN-konfiguraasje noch it âlde oankundiget.
As it adres ferdwûn is mar it foarheaksel net feroare, is de daemon dy’t it tawijst ophâlden mei it behear fan ’e interface. As it foarheaksel feroare is mar de adressen net, is de klantkonfiguraasje ferâldere. De twa flaters sjogge der itselde út fanút in browser en hawwe neat mienskiplik.
Beslis oft dhcpcd de tunnel beheare moat
dhcpcd kin interfaces ûntdekke en dielen fan in DHCPv6-foarheaksel oan delstreams interfaces delegearje, en syn konfiguraasje kin de delegaasjedoelen eksplisyt beneame. Sûnder in eksplisyt doel kin syn dokumintearre gedrach oare interfaces belûke, en sa krijt in tunnel in adres dat gjinien pland hie.
Twa betingsten soene jo derta bringe moatte om OpenVPN de statyske adressaasje fan ’e tunnel hawwe te litten: de tsjinner treau fêste adressen yn syn konfiguraasje, en de tunnelsnamme feroaret by opnij ferbinen. As beide jilde, slút dan de tunnel bewust út by de delegaasjedaemon, mei in kommentaar dat seit wêrom.
As delegaasje nei de tunnel ynstee bewust is, ymplementearje dan it ôfhandeljen fan foarheakselferoaring. Dat betsjut reagearje as it delegearre foarheaksel of syn libbensdoer feroaret, it oankundige klintfoarheaksel fan de tsjinner bywurkje, en de rûte wer tafoegje. It interface yn dat ûntwerp útslute ferwideret it iennichste ûnderdiel dat fan it nije foarheaksel wit.
It herstarten fan dhcpcd kin lykje dat it dingen reparearret om’t it steat opnij makket, mar it fernijt of lûkt ek konfiguraasje yn foar interfaces dêr’t jo net oan tochten. Dy weromkearing makket it gjin eask nei elke VPN-herstart. It set ek de tellers werom dy’t jo as bewiis brûkten. Foarkar in rjochte werlade fan it interface dat jo eins feroare hawwe.
Falidearje IPv6 apart fan IPv4 NAT
Befêstigje dat trochstjoeren oan is en dat de opstreamsrûte nei it werklike klintfoarheaksel wiist, meitsje dan in nije tastiene IPv6-ferbining. Kontrolearje ek de eigen IPv6-rûtetabel fan ’e klant, want in klant dy’t in iepenbier adres toant bewiist net dat syn fersyk de tunnel brûkte.
IPv4-maskeraasje oplost in oar probleem: it weromwei foar priveeboarnen. It docht neat foar in weromlutsen IPv6-foarheaksel, en it tafoegjen sil IPv6 net werombringe.
Slút ôf mei it eignerskipsregister: hokker ûnderdiel it foarheaksel delegearret, hokker klintadressen tawijst, hokker de weromrûte hâldt, en wat der by opnij ferbinen mei elk bart. Fjouwer rigels yn in runbook besparje de folgjende persoan trije daemons te herstarten om dy te finen dy’t der ta die.