Cén fáth nach féidir le do VM GCP freagra a thabhairt ar linn IPv6 OpenVPN

Sroicheann do chliant VPN IPv6 an t-ualach oibre, tugann an t-ualach oibre freagra isteach sa tollán, agus ní thagann an freagra riamh. Is é an chéad instinct an locht a chur ar an mballa dóiteáin nó ar an tollán, agus de ghnáth ní bhíonn ceachtar acu ciontach. Is líonra inmheánach é seoladh a thugtar amach ó OpenVPN nach bhfuil ann ach taobh istigh den tollán; níl a fhios ag Google Cloud gur cheart fd42:90::/64 a bheith taobh thiar de VM áirithe go dtí go n-insíonn tú dó.

Caithfidh dhá chóras ar leith an fhíric sin a fhoghlaim, agus ní hé ach ceann amháin acu OpenVPN. Teastaíonn bealach ón VPC sula féidir leis rud ar bith a chur ar ais, agus caithfear cead a thabhairt don VM an rud a thagann a aistriú. Déan botún sa dá leath agus breathnaíonn an tsíomptóm mar an gcéanna.

Is líonra inmheánach é an linn, ní fo-líonra

Is féidir le OpenVPN seoltaí IPv6 a thabhairt amach ó raon a roghnaíonn tú, agus is ficsean é an raon sin a n-aontaíonn dhá cheann an tolláin air. Ní fo-líonra Google Cloud é, ní thaispeántar é i liosta fo-líonraí an VPC, agus ní fhaigheann comhéadan líonra an VM na seoltaí sin. Mar sin cuireann ualach oibre a thugann freagra do chliant paicéad chuig seoladh a mheasann an líonra a bheith neamh-ródaithe.

Coinnigh an linn lasmuigh de gach raon a úsáideann an VPC cheana féin. Coinnigh lasmuigh de na raonta taobh thiar de do tholláin eile é freisin. Athraíonn forluí teip ródaithe ghlan go teip eatramhach nach mbíonn le feiceáil ach faoi ualach.

Is rogha réasúnta é seoladh áitiúil uathúil ar nós fd42:90::/64 don líonra inmheánach seo. Meabhraíonn an réimír freisin go bhfuil an dearadh príobháideach ó bhunús. Ní dhéanann aon rud i linn ULA é a dhéanamh ina fhoinse dhlisteanach ar an idirlíon poiblí.

Tabhair ceann scríbe agus chéad chéim eile don VPC

Teastaíonn bealach VPC ón bhfreagra a bhfuil an linn mar cheann scríbe aige agus an VM VPN mar chéad chéim eile. Clúdaíonn an doiciméadú reatha ar bhealaí statacha raonta ceann scríbe IPv6 agus liostaíonn sé cé na cineálacha chéad chéim eile atá incháilithe, mar sin fíoraigh an fhoirm thacaithe do do thopeolaíocht seachas sampla IPv4 níos sine a chóipeáil.

Caithfidh seoladh céad chéim eile a bheith ar cheann atá sannta go hiarbhír do chomhéadan scamall an cháis. Ní hé seoladh inmheánach tolláin an VM an seoladh sin. Má úsáideann tú é mar sin féin cruthaítear bealach a shuiteáiltear go glan agus nach mbíonn ag teacht le paicéad riamh. Léigh liosta na gcomhéadan sula scríobhann tú an bealach.

Tá tosaíocht bealaigh chomh tábhachtach leis an iontráil féin. Tá bealaí fo-líonra níos sainiúla ná na bealaí saincheaptha a chuireann tú leis, mar sin caillfidh linn a gearradh as raon fo-líonra atá ann cheana féin i gcoinne bhealach an fho-líonra, is cuma conas a scríobhtar an bealach saincheaptha. Roghnaigh linn ar leith, ansin dearbhaigh go dtaispeánann an bealach an cás mar chéad chéim eile agus an réimír cheann scríbe cheart:

gcloud compute routes create vpn6-return \
  --network=vpn-vpc \
  --destination-range=fd42:90::/64 \
  --next-hop-instance=openvpn-vm \
  --next-hop-instance-zone=europe-west1-b

Caithfear an t-aistriú a chumasú faoi dhó

Seachadann bealach an paicéad don chás. Ní dhéanann sé an cás toilteanach rud nach bhfuil dírithe air a aistriú, agus tá an cead sin ann ar dhá shraith.

Teastaíonn ó thaobh an scamaill an chumhacht aistrithe don chás a bheith cumasaithe; is é sin an socrú a ligeann do VM trácht a fháil do sheoltaí nach bhfuil aige agus é a chur ar aghaidh. Teastaíonn ó thaobh an aoi a aistriú IPv6 féin, mar go ndéanann an eithne cinneadh ar leith tar éis don phaicéad teacht. Caithfidh an dá rud a bheith ar siúl sula dtrasnaíonn freagra amháin an tollán.

sysctl -w net.ipv6.conf.all.forwarding=1

Ansin caithfidh rialacha an bhalla dóiteáin an raon foinse inmheánach a ligean isteach sa dá threo. Déanann Google Cloud measúnú ar an bpaicéad díchochallaithe, mar sin scaoileann riail nach gclúdaíonn ach fo-líonra an VPC trácht na linne tar éis don tollán a bheith rathúil cheana féin. Cuir an linn leis mar raon foinse sa riail iontrála, agus seiceáil nach gcuireann aon pholasaí eisilte saincheaptha bac ar an bhfreagra. Clúdaíonn an riail cheada intuigthe an cás réamhshocraithe, ní chlúdaíonn riail eisilte scríofa de láimh é.

Abair le OpenVPN cé a bhfuil cad aige

Aistríonn OpenVPN chuig cliant nuair a bhíonn a fhios aige go bhfuil an ceann scríbe ag an gcliant sin. Láimhseálann an treoir freastalaí a shainíonn an linn seoltaí cliant ón linn, ach is socrú difriúil é fo-líonra taobh thiar de chliant agus teastaíonn iontráil úinéireachta shoiléir don chliant sin.

Má mheascann tú an dá rud cruthaítear tollán ina n-oibríonn ping chuig an bhfreastalaí agus nach n-oibríonn aon rud taobh thiar de. Socraigh cén cás atá á thógáil agat, ansin scríobh an iontráil mheaitseála seachas dara líne push a chur leis agus súil a bheith agat.

Coinnigh eisileadh idirlín lasmuigh den dearadh seo

Is pleananna ar leith iad rochtain phríobháideach agus rochtain idirlín. Is féidir le linn ULA ualaí oibre VPC a shroicheadh tríd an tollán a luaithe a aontaíonn ródú agus aistriú, agus níl aon chosán ag an linn chéanna chuig an idirlíon poiblí tríd an VPC, mar ní ghlacfaidh geata an scamaill le foinse tolláin threallach mar a cheann féin.

Má theastaíonn eisileadh idirlín ó na cliaint freisin, pleanáil dearadh seoladh agus ródaithe tacaithe dó, coinnigh é neamhspleách ar an linn phríobháideach, agus tástáil an dá chosán ar leith. Ní insíonn cosán amháin a oibríonn aon rud faoin gceann eile, agus teipeann dearadh a mheascann iad ar bhealach a bhreathnaíonn mar thollán briste.