Pleanáil IPv6 do mhol WireGuard dhá shuíomh: réimír, piaraí, bealaí

Dhá LAN, aon mhol WireGuard amháin agus plean seoltaí IPv6 a chaithfidh freagra a thabhairt ar thrí cheist ar leith: cén réimír, cén seoladh a bhaineann le gach ródaire, agus cé na piaraí a shealbhaíonn gach fíorlíonra. Má tá ceann acu mícheart, gheobhaidh tú tollán a dhéanann croitheadh láimhe agus nach ndéanann ródú ar bith. Téann an plean thíos trí dhearadh príobháideach dhá shuíomh san ord sin. Ní sholáthraíonn sé rochtain idirlín IPv6 d’aon ghnó.

Socraigh cad chuige an réimír

Is é réimír uathúil áitiúil ó fd00::/8 an rogha nádúrtha nuair is é an sprioc inrochtaineacht phríobháideach idir suíomhanna. Fanann sé cobhsaí beag beann ar cén soláthraí a riarann gach áit, agus ní fhógraítear é sa tábla ródaithe domhanda, mar sin ní féidir leis do uimhriú inmheánach a sceitheadh ar an idirlíon.

Is é an tréith chéanna an teorainn. Ní thugann ULA aon chonair fillte phoiblí, mar níl a fhios ag aon sruth uachtarach é a ródú chuig do gheata. Má chuimsíonn an riachtanas eisíocaíocht idirlín IPv6, tá ort leithdháileadh ó sholáthraí a ródaíonn chugat é, agus is cinneadh deartha ar leith é sin lena mhéid réimíre féin.

Ná glac leis go bhfuil /48 ag teastáil ó gach imscaradh. RFC 6177 d’fhan sé siar ó aon mhéid éigeantach amháin do shuíomh deiridh, agus leanann an méid ceart líon na líonraí a oibreoidh tú. Gin an ULA leis an nós imeachta RFC 4193 seachas réimír a cheapadh a d’fhéadfadh eagraíocht eile a úsáid freisin. Scríobh an toradh sa phlean seoltaí sula ndéantar aon ghléas a chumrú, mar is réimír a athúsáidfidh duine éigin réimír nár thaifead aon duine.

Roinn an réimír ina róil

Úsáideann an sampla thíos fd7c:2e91:4a00::/48, agus tá an tábla eagraithe de réir an áit a scríobhtar gach bloc seachas de réir suíomh. Caith leis na luachanna mar shampla agus gin do chuid féin sula n-imscarann tú aon rud.

Is /64 iad na bloic LAN mar go nglacann SLAAC coitianta le haitheantóir comhéadain 64-giotán. Má roinntear LAN ina bhloc níos lú, bristear an toimhde sin ar fhormhór na n-óstach, agus ní fiú an costas oibriúcháin an choigilt seoltaí i bplean príobháideach. Tagann an dá bhloc LAN ó lár an /48, rud a fhágann an raon íseal saor do shuíomhanna níos déanaí.

Is buicéad riaracháin iad na seoltaí tolláin, ní líonra ar an nasc. Faigheann gach comhéadan /128 amháin uaidh, mar sin ní ghlacann aon óstach le fíorlíonra comhroinnte ar an tollán agus ní ritheann fionnachtain comharsan san áit nach bhfuil gá léi. Coinnigh na róil dílis agus taifead iad i bplean seoltaí na heagraíochta ionas nach n-athúsáidfidh suíomh níos déanaí bloc.

Tabhair seoladh tolláin amháin do gach ródaire

Sann /128 amháin in aghaidh an ródaire agus coinnigh eochracha agus críochphointí reatha an mhoil atá ag obair. Ní dhealraíonn na trí luach thíos ach sa chuid óstaigh.

Hub:    Address = fd7c:2e91:4a00:ff00::1/128
Site A: Address = fd7c:2e91:4a00:ff00::2/128
Site B: Address = fd7c:2e91:4a00:ff00::3/128

Déanann an /128 seo cur síos ar an aon seoladh a shanntar don chomhéadan sin. Ní deir sé aon rud faoi cé mhéad ceann scríbe is féidir leis an bpiara a ródú, mar cuirtear inrochtaineacht in iúl in AllowedIPs seachas i réimír an chomhéadain.

Teastaíonn seoladh i mbloc a LAN ó gach ródaire suímh freisin agus bealach chun é a dháileadh, de ghnáth fógraí ródaire le haghaidh SLAAC. Ní sheolann WireGuard na fógraí sin ar do shon, agus ní dhéanann sé an dá LAN a dhroichid. Is ródaire é ródaire an tsuímh sa dá threo.

Cuir úinéireacht an fhíorlíonra in AllowedIPs

Tá seoladh tolláin A agus LAN A ag iontráil piara an mhoil do Shuíomh A, agus is é an péire sin an ráiteas úinéireachta iomlán. Ní gá d’aon rud eile san alt piara sin cur síos a dhéanamh ar an suíomh.

AllowedIPs = fd7c:2e91:4a00:ff00::2/128, fd7c:2e91:4a00:10::/64

Tá an péire comhoiriúnach ag iontráil piara Shuíomh B, agus tá siméadracht níos tábhachtaí anseo ná gontacht. Léigh an dá líne le chéile agus bíonn an deighilt úinéireachta le feiceáil sracfhéachaint.

AllowedIPs = fd7c:2e91:4a00:ff00::3/128, fd7c:2e91:4a00:20::/64

Is dhá alt piara ar leith iad seo, ní dhá liosta atá ag iomaíocht ar son piara amháin. Úsáideann WireGuard AllowedIPs sa dá threo: roghnaíonn sé an piara do cheann scríbe amach, agus diúltaíonn sé do phaicéad isteach nach n-oireann a fhoinse don raon a shanntar don phiara a dhíchriptigh é. Dá dtabharfaí an /48 iomlán don dá phiara, chuirfí an dara seiceáil sin as feidhm agus dhéanfaí doiléir cén suíomh a shealbhaíonn cén bloc. Is é an t-idirdhealú sin a dhéanann seoladh foinse mícheart sofheicthe in ionad é a ghlacadh go ciúin.

Ní theastaíonn ó gach suíomh ach na cinn scríbe atá inrochtana trína phiara moil: liostaíonn Suíomh A seoladh an mhoil, seoladh tolláin Shuíomh B agus LAN B, agus liostaíonn Suíomh B an tacar cómhalartach. Tá na liostaí neamhshiméadrach d’aon ghnó, mar feiceann gach ródaire taobh difriúil den toipeolaíocht. Scríobh an dá cheann ón bplean seoltaí seachas ó chumraíocht an tsuímh eile, mar sin an chaoi a maireann raon seanda tar éis athuimhrithe.

Le wg-quick, cruthaíonn na raonta seo bealaí freisin. Le systemd-networkd nó le socrú láimhe, cuir na bealaí comhionanna leis féin; mura ndéanfaidh tú, iompraíonn an tollán paicéid nach seolann an t-eithne isteach ann riamh.

Comhlánaigh an t-aistriú agus tástáil an dá threo

Cumasaigh aistriú IPv6 ar an mol agus ar an dá ródaire suímh, agus ceadaigh na seirbhísí idir-shuímh atá ag teastáil sa pholasaí aistrithe. Coinnigh teachtaireachtaí ICMPv6 Packet Too Big inúsáidte, mar má chaitear amach iad bristear fionnachtain MTU conaire agus cruthaítear stadanna aistrithe móra a bhfuil cuma lochtanna feidhmchláir orthu. Caitheann mol a aistríonn gan chead an bhalla dhóite an paicéad amach idir ródú agus an tollán. Is fiú an mód teipe sin a bheith ar eolas agat, mar fanann an tollán in airde agus ní fhaigheann ach roinnt sruthanna bás.

sysctl net.ipv6.conf.all.forwarding
ip -6 route
ping -6 -c 3 fd7c:2e91:4a00:20::1

Tástáil ó óstach i Suíomh A go hóstach i Suíomh B agus ansin sa treo eile. Ní dhéanann ping chuig seoladh tolláin an mhoil ach an chéad léim a fheidhmiú agus éireoidh sé fiú nuair a bhíonn bealaí LAN mícheart. Is é an sruth ó óstach go hóstach an ceann a chruthaíonn an plean.

Is féidir leis an nasc WireGuard seachtrach rith thar IPv4 agus an trácht inmheánach ina IPv6, agus tá an neamhspleáchas sin úsáideach le linn aistriúcháin. Má chuirtear eisíocaíocht IPv6 dhomhanda leis níos déanaí, déan athbhreithniú ar leithdháileadh an tsoláthraí, ar roghnú an tseolta fhoinse agus ar ródú fillte mar chéim deartha nua; fanann an plean príobháideach thuas bailí do thrácht idir shuíomhanna.