Tarmligean réimír IPv6 thar VPN ó shuíomh go suíomh: seicliosta
Seiceálacha chun réimír IPv6 tarmligthe a ródú thar VPN ó shuíomh go suíomh: léarscáil réimíreacha, roghnóirí tráchta, seachadadh, MTU, cosán fillte agus ath-uimhriú.
Is é ardú an tolláin an leath éasca. Chonaic mé nasc ó shuíomh go suíomh ag fanacht bunaithe ar feadh laethanta agus gach óstach ar an LAN i bhfad i gcéin ag fáil tost ar ais, mar bhí an réimír tarmligthe taobh thiar den gheata sin cumraithe ar chomhéadan ach níor ródaíodh riamh isteach sa tollán é. D'fhreagair seoltaí an tolláin na pianta an t-am ar fad, agus is ar an gcúis sin go díreach nach bhfaca éinne an réimír. Seo an t-ord ina seiceálann mé nuair a chaithfidh réimír IPv6 tarmligthe dul trasna VPN suímh: an léarscáil réimíreacha, na roghnóirí tráchta, seachadadh agus balla dóiteáin, agus ansin an cosán fillte.
Scríobh an léarscáil réimíreacha sula dtéann tú i dteagmháil leis an tollán
Tugann tarmligean réimíre bloc don ródaire a d'iarr é. Ní shuiteálann sé ród ar an bpiara, ní shíneann sé an bloc sin ar an nasc, agus ní insíonn sé don gheata i bhfad i gcéin cad atá taobh thiar den ródaire a d'iarr. Is leatsa na trí rud sin a chumrú, agus baineann siad le plean seoladh sula n-athraíonn aon chomhad cumraíochta.
Do gach suíomh, taifead an réimír tarmligthe, an /64 atá in úsáid i ndáiríre ar an LAN, seoltaí an tolláin agus úinéir gach róid. Tarmligeann an soláthraí 2001:db8:a1::/56 chuig suíomh A, a fhreastalaíonn ar 2001:db8:a1:10::/64 ar a LAN; coimeádann suíomh B 2001:db8:b2::/64. Má fhreastalaíonn suíomh A ar an aon /64 sin amháin, ba chóir don dá cheann 2001:db8:a1:10::/64 a ainmniú seachas an /56 iomlán.
Tagann dhá dhearmad chun solais beagnach gach uair. Ceann amháin is ea an réimír i bhfad i gcéin a láimhseáil mar rud atá ar an nasc, í a dhroicheadú nó a chur ar chomhéadan an tolláin ionas go bhfreagraíonn an geata an t-iarratas comharsan do óstaigh nach féidir leis a shroicheadh. An ceann eile is ea an /56 iomlán a fhógairt nuair nach bhfuil ach /64 amháin cumraithe: maíonn an tábla ród go bhfuil an bloc inrochtana agus titeann an chuid is mó de na seoltaí isteach i bpoll dubh.
Meaitseáil roghnóirí tráchta an dá cheann leis na róid
Diúltaíonn IKEv2 agus WireGuard araon do thrácht mífhreagrach, chomh ciúin sin go bhféachann an tollán fós sláintiúil.
I strongSwan tá na roghnóirí follasach. Ar shuíomh A:
conn a-to-b
left=2001:db8:ff::1
leftsubnet=2001:db8:a1:10::/64
right=2001:db8:ff::2
rightsubnet=2001:db8:b2::/64
auto=startLéiríonn conn shuíomh B an dá fho-líonra. Nuair nach n-aontaíonn siad, diúltaíonn an freagróir don CHILD_SA le TS_UNACCEPTABLE, mar sin ní thagann an SA linbh aníos riamh cé gur tháinig an IKE_SA. Ar an dá thaobh caithfidh an fo-líonra cumraithe a bheith cothrom leis an rud a ródaíonn an t-eithne áitiúil i dtreo an tolláin.
Iompraíonn WireGuard an fhaisnéis chéanna in AllowedIPs, le cas amháin: is scagaire foinse é AllowedIPs ar ghlacadh agus ród ar sheoladh freisin. Má fhágann iontráil piara shuíomh B do shuíomh A 2001:db8:a1:10::/64 ar lár, tagann paicéid ó shuíomh A ar chroitheadh láimhe bailí agus caitear amach iad mar rud nach bhfuil ceadaithe. Cruthaíonn sé sin an patrún aithnidiúil de chroitheadh láimhe a dhéanann athnuachan gan stad agus gan aon fhreagra ag imeacht riamh. Cuir an dá cheann i gcomparáid le wg show wg0 allowed-ips. Seiceáil an liosta sin arís gach uair a athraíonn an tarmligean; coimeádann /64 sean an seisiún suas agus an réimír nua dorochtana.
Cuir seachadadh, balla dóiteáin agus MTU as an áireamh ar dtús
Sula léann tú líne loga eile, deimhnigh go ndéanann na geataí seachadadh ar chor ar bith. Caithfidh sysctl net.ipv6.conf.all.forwarding 1 a chur ar ais ar an dá cheann, curtha i bhfeidhm ar chomhéadain an tolláin agus an LAN freisin. Tagann gaiste amháin leis: a luaithe a bhíonn seachadadh ar siúl, stopann comhéadan le accept_ra=1 ag glacadh fógraí ródaire ón soláthraí, mar sin féadfaidh an bosca a ród réamhshocraithe suas an sruth a chailleadh agus é ag ródú go foirfe laistigh den tollán. Socraigh accept_ra=2 áit a bhfuil RA ón soláthraí fós ag teastáil.
Ansin caithfidh rialacha an bhalla dóiteáin an réimír a cheadú sa dá threo, agus caithfidh ICMPv6 maireachtáil: ní roghnach í an fhionnachtain comharsan, paicéad-ró-mhór ná ceann scríbe dorochtana. Má chaitheann tú amach iad, briseann fionnachtain MTU an chosáin, rud a thugann duit naisc a osclaíonn agus a stopann ansin ar an gcéad fhreagra mór. Breathnaíonn péire íosta rialacha mar seo:
nft add rule inet filter forward ip6 saddr 2001:db8:a1:10::/64 ip6 daddr 2001:db8:b2::/64 accept
nft add rule inet filter forward ip6 saddr 2001:db8:b2::/64 ip6 daddr 2001:db8:a1:10::/64 accept
nft add rule inet filter forward icmpv6 type { packet-too-big, nd-neighbor-solicit, nd-neighbor-advert } acceptTá an MTU taobh thiar de sin. Laghdaíonn tollán an MTU inúsáidte faoi bhun 1500, agus éilíonn IPv6 go n-iompraíonn gach nasc 1280 ar a laghad. Pasann pianta beaga, reoiteann seisiún SSH ar phléasc mhór, agus taispeánann /proc/net/snmp6 teachtaireachtaí paicéad-ró-mhór nach dtagann ar ais riamh. Socraigh MTU an tolláin go follasach, nó clampaigh TCP MSS sa tábla mangle, agus lig don ICMPv6 a thuairiscíonn an MTU níos lú teacht ar ais.
Tástáil an cosán fillte, ní seoladh an tolláin
Is é an teip is mó a chosnaíonn am ná ródú aon-treo. Ródaíonn gach geata an réimír i bhfad i gcéin isteach sa tollán, ach freagraíonn na hóstaigh trína ngeata réamhshocraithe féin mar is ann a chónaíonn a /64. Níl i bhfaighidh paicéid chuig an gceann scríbe ach leath an chosáin.
| What you see | Likely cause | First check |
|---|---|---|
| Tunnel up, every host silent | remote prefix not routed into the tunnel | ip -6 route get on both gateways |
| Handshake renews, no replies | source prefix missing from selectors or AllowedIPs | ipsec statusall, wg show allowed-ips |
| Small pings pass, transfers stall | MTU or ICMPv6 packet-too-big filtered | /proc/net/snmp6 counters |
| Old prefix still works | stale /64 left in routes or selectors | delegation lease and route table |
Réitíonn dhá ordú an chuid is mó de. Ar shuíomh A taispeánann ip -6 route get 2001:db8:b2::53 from 2001:db8:a1:10::5 cén comhéadan a d'úsáidfeadh freagra ón bhfoinse sin; déan an tseiceáil scátháin ar shuíomh B. Ansin gineadh trácht ó óstach seachas ón ngeata agus cuir na cuntair i gcomparáid ar an dá cheann.
Má thagann iarratas comharsan don réimír i bhfad i gcéin chun solais ar an tollán, tá an réimír sin ar an nasc in áit nár cheart di a bheith; deisigh é sin sula gcoigeartaíonn tú róid. Clúdaíonn Proxy NDP cásanna ina bhfuil droicheadú de dhíth i ndáiríre, agus ní ionadach é ar ród.
Déan plean don réimír ag athrú fút
Is léas é tarmligean réimíre idir an ródaire tarmligthe agus an ródaire iarrthach, agus féadfaidh athnuachan bloc difriúil a thabhairt ar ais: /56 difriúil tar éis imirce soláthraí, nó léas níos giorra ná mar atá an tollán in airde. Éiríonn gach áit a ainmníonn an seanréimír as dáta ar an toirt: róid, roghnóirí, AllowedIPs, rialacha balla dóiteáin, taifid DNS agus aon mhonatóireacht a chódálann seoltaí litriúla go crua. Tá an sreabhadh teachtaireachtaí in RFC 8415.
Áit a bhfuiltear ag súil go mbogfaidh an réimír, coinnigh plean seoladh inmheánach nach mbraitheann uirthi agus aistrigh ag an teorainn. Is é NPTv6 an rogha gan staid agus coimeádann sé polasaí inmheánach inléite, ach is aistriúchán réimíre é, ní ciseal draíochta: caithfidh teorainneacha /64 teacht le chéile, coigeartaítear suimeanna seiceála, agus briseann feidhmchláir a leabaíonn seoltaí litriúla fós. Má choinníonn tú seoltaí an tsoláthraí ó cheann go ceann, taifead iompar an léis agus nós imeachta athraithe sa phlean seoladh.
Críochnaigh le tástáil a mhaireann an aimsir: sroicheann óstach ceadaithe ar gach LAN seirbhís ar an LAN eile, tagann an freagra ar ais tríd an tollán, agus oibríonn an péire céanna fós tar éis atosú an tolláin agus athnuachan an tarmligin. Má theipeann ar an gcuid dheireanach, braitheann an dearadh ar staid nach maireann an tseachtain.