IPv6 trí thollán OpenVPN: siúlóid thart ar an ródaire baile

Tá seoladh IPv6 ag an ríomhaire glúine, tá an tollán suas thar IPv4, agus mar sin féin teipeann ar gach tástáil IPv6. Nó níos measa: éiríonn leis an tástáil agus d'fhág an trácht ar chosán an tsoláthraí gan dul isteach sa tollán riamh. Tagann an dá thoradh ar ais chuig aon chinneadh amháin atá ar iarraidh: níor thug aon duine réimír don ródaire a d'fhéadfadh sé a ródáil i dtreo na gcliant. Má shiúlann tú an cosán ón gcliant amach, aimsíonn tú cén píosa atá ar iarraidh.

Tosaigh san áit a bhfuil an cliant

Féach ar an gcliant sula mbaineann tú leis an bhfreastalaí. Ba chóir do ip -6 addr seoladh tolláin ón linn a thaispeáint, agus ba chóir do ip -6 route an réimír bhrúite a thaispeáint atá ag pointeáil ag an bhfeiste tolláin. Nuair a bhíonn an seoladh ann ach nach bhfuil an ród ann, tá an brú ar iarraidh nó rinne an cliant neamhaird de. Nuair nach bhfuil ceachtar ann, níor leithdháil an freastalaí aon rud ar chor ar bith.

Ansin seiceáil cad a chreideann an cliant faoin saol lasmuigh. Éilíonn ród réamhshocraithe thar an tollán an trácht IPv6 go léir, agus ní éilíonn ród do 2000::/3 ach unicast domhanda. Is féidir leis an dá rud a bheith ceart, agus freagraíonn siad ceisteanna difriúla faoi sceitheadh.

Teipeann ar chliant gan aon ród réamhshocraithe IPv6 ar gach tástáil phoiblí cé go bhfuil an tollán féin go hiomlán sláintiúil. Is bearna beartais é sin, ní tollán briste.

Seiceáil an linn is féidir leis an bhfreastalaí a ródáil i ndáiríre

Ní féidir le freastalaí ach leithdháileadh ó réimír a rialaíonn sé i ndáiríre. Má tharmligean an soláthraí /56, cuir /64 ar leataobh don tollán agus fág an chuid eile don LAN. Nuair nach dtugann an soláthraí ach aon /64 amháin ar an WAN agus nach ródálann sé a thuilleadh, fág réimír an LAN i suaimhneas agus tabhair raon áitiúil uathúil don tollán, agus tú ag glacadh leis nach mbeidh aon slí amach domhanda ag na cliaint.

Téann an linn agus an brú le chéile. Leithdháileann server-ipv6 2001:db8:80:10::/64 seoltaí, agus insíonn push "route-ipv6 2000::/3" do na cliaint cad ba chóir a sheoladh isteach sa tollán. Clúdaíonn brú 2000::/3 unicast domhanda agus fágann sé raonta link-local agus multicast lasmuigh den tollán.

Scríobh an réimír roghnaithe isteach sa taifead imlonnaithe. Caithfidh an chéad duine eile a athróidh tarchur an tsoláthraí a bheith ar an eolas faoin /64 atá á áitiú ag an tollán cheana féin.

Cuir an t-ardú ar siúl don dara teaghlach

Ní hionann ardú IPv4 agus ardú IPv6. Socraigh net.ipv6.conf.all.forwarding=1 agus déan macasamhail de gach rud a cheadaíonn beartas FORWARD IPv4 cheana féin. Ar ródaire a scaoileann a shlabhra FORWARD de réir réamhshocraithe, tá cuma shlabhra rialacha atá ar iarraidh go díreach cosúil le tollán marbh.

Éiríonn leis an gcroith láimhe, faigheann an cliant seoladh, agus ní thagann aon rud ar ais. Cuir rialacha leis don dá threo agus don chosán WAN, mar teipeann ar thollán a shroicheann an LAN ach nach sroicheann an t-idirlíon sa tríú tástáil. Féach ar chuntair an tslabhra tar éis iarracht theipthe, mar is fadhb dhifriúil é riail nár mheaitseáil riamh ó riail a mheaitseáil agus a scaoil.

ip6tables -A FORWARD -i br0 -o tun0 -j ACCEPT
ip6tables -A FORWARD -i tun0 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i tun0 -o wan0 -j ACCEPT

Bíonn fo-iarsma amháin ag na daoine a chríochnaíonn ag cur an lochta ar an tollán. Nuair a chuirtear ardú ar siúl, scipeálann an t-eithne cumraíocht seoladh trí Fhógra Ródaire mura ndeirtear a mhalairt leis, agus imíonn ród réamhshocraithe a fhoghlaimítear mar sin leis. Ceangail ród réamhshocraithe shoiléir ar an gcomhéadan WAN, nó socraigh accept_ra go 2 ansin d'aon ghnó. Tar éis ceachtar athrú, deimhnigh go bhfuil cosán IPv6 inúsáidte amach fós ag an ródaire sula dtástálann tú na cliaint arís.

Freagair fionnachtain comharsan nuair nach ródálann an t-uas-shruth

Caitheann trealamh uas-shrutha leis an /64 tarmligthe uaireanta mar rud a bhaineann lena nasc féin agus diúltaíonn sé aon fho-réimír a ródáil chuig an mbosca VPN. Nuair a tharlaíonn sé sin, caithfidh rud éigin freagra a thabhairt ar iarratais comharsan do gach seoladh cliaint ina aonar.

Nochtann OpenVPN an seoladh leithdháilte do chrúca client-connect, ionas gur féidir le hiontrálacha leanúint den linn fhíor in ionad liosta a choinnítear de láimh. Cuireann an crúca ip -6 neigh add proxy $ifconfig_pool_remote_ip6 dev eth0 leis, agus baineann crúca client-disconnect comhfhreagrach é. Gan an bhaint, éiríonn tábla an seachfhreastalaí as dáta agus féadfaidh cliant níos déanaí iontráil a oidhreacht do sheoladh nach bhfuair sé riamh. Deimhnigh an staid le ip -6 neigh show proxy.

Caith le seachfhreastalaíocht mar sheift. Maireann ród statach don /64 tolláin atá dírithe ar an ródaire chun an athraithe cliant agus ní theastaíonn aon chrúca blaoisce phribhléideach ar chor ar bith.

Lean an cosán amach, léim ar léim

Tástáil amach i dtrí chéim: seoladh tolláin an ródaire ar dtús, óstach LAN ansin, agus tríú ceann scríbe poiblí trí traceroute6. Cruthaítear an linn leis an gcéad cheann, an t-ardú agus balla dóiteáin an LAN leis an dara ceann, agus an cosán fillte thar an uas-shruth leis an tríú ceann. Cúngaíonn gach teip an cuardach go dtí aon fheiste amháin in ionad an dearadh iomlán a athoscailt.

Bí ag faire ar MTU an tolláin, mar ní dhéanfaidh ródairí IPv6 ar an gcosán ilroinnt ar do shon. Tagann MTU rómhór chun solais mar earráid packet-too-big agus TLS stoptha seachas mar theip ghlan. Socraigh go soiléir é agus tástáil le hualach gar don teorainn.