Ar cheart trácht IPv6 dul tríd an VPN nó go díreach?
Cinneadh an mbaineann ::/0 le taobh istigh den tollán, de réir trí choinníoll: tacaíocht an aschuir, inrochtaineacht an deiridh agus líonraí áitiúla amháin.
D'fhiafraigh beirt díom an mhí seo caite faoi thorthaí contrártha: theastaigh ó dhuine amháin go gclúdódh an VPN IPv6, agus theastaigh ón duine eile go leanfadh printéir na hoifige ag obair. Ní féidir le bealach amháin ::/0 an dá rud a sholáthar as a stuaim féin. Braitheann sé ar thrí choinníoll an mbaineann an bealach sin le taobh istigh den tollán, agus eisíonn an chéad cheann é d'fhormhór na n-aschur tráchtála. Mura iompraíonn an t-aschur IPv6, folaíonn ródú an bhealaigh réamhshocraithe isteach ann do thrácht i dtollán nach bhfuil áit ar bith aige lena sheoladh.
Cinneann trí choinníoll an freagra
Is é an bealach réamhshocraithe líne amháin, ::/0, agus meaitseálann sé aon cheann scríbe IPv6 gan bealach níos sonraí (RFC 4291). Tá sé éasca é a shuiteáil. Tagann an cinneadh ar cheart duit a dhéanamh síos go trí choinníoll.
Coinníoll a haon: tá IPv6 ag obair ag an aschur a nascann tú leis agus tá sé sásta é a tharchur. Coinníoll a dó: is féidir le do chliant bealach a choinneáil chuig deireadh an tolláin, a bhíonn de ghnáth laistigh den raon atá tú ar tí a ródú. Coinníoll a trí: is féidir leat na cinn scríbe IPv6 áitiúla a ainmniú nach mór fanacht lasmuigh den tollán.
Teipeann gach coinníoll ar a bhealach féin, agus is é sin an fáth a gcosnaíonn buille faoi thuairim tráthnóna iomlán. Tugann coinníoll a haon teipthe ciúnas duit agus tábla ródaithe atá cosúil le bheith ceart. Maraíonn coinníoll a dó teipthe an chroitheadh láimhe cúpla soicind tar éis tosú. Fágann coinníoll a trí teipthe tollán ag obair agus comhghleacaí míshásta ag an bprintéir.
| What you see | Decision |
|---|---|
| Exit answers IPv6 probes, no local IPv6 devices to protect | Route ::/0 into the tunnel |
| Exit answers IPv6 probes, printer or NAS reachable by a global address | Route ::/0, then give those prefixes a route of their own |
| Exit is IPv4-only inside the tunnel | Do not route ::/0; block IPv6 on the client |
Endpoint is reached over IPv6 and sits inside ::/0 | Install a host route for the endpoint first |
An iompraíonn an t-aschur IPv6 i ndáiríre?
Ní chruthaíonn comhéadan tolláin a bhfuil seoladh IPv6 aige aon rud faoin taobh thall. Tá go leor próifílí tráchtála ina IPv4 amháin istigh: tugann an freastalaí seoladh v4 duit agus scaoileann sé gach rud eile. Suiteáil bealach réamhshocraithe ó AllowedIPs air sin agus seolfaidh an eithne IPv6 go sásta isteach i gcomhéadan nach bhfeiceann a mhacasamhail riamh é.
Tástáil ón gcliaint fad a bhíonn an tollán suas. Freagraíonn ping -6 -c 3 2001:4860:4860::8888 agus ip -6 route get 2001:4860:4860::8888 ceisteanna éagsúla: an dtagann freagra ar ais, agus cén gléas a roghnaigh an eithne. Nuair a ainmníonn an dara ceann do thollán agus nach dtugann an chéad cheann aon rud ar ais, is é an t-aschur an fhadhb, ní an bealach.
Má ritheann tú an t-aschur féin, féadfaidh tástáil an chliaint pasáil agus an bealach teacht chun deiridh mar sin féin. Deimhnigh net.ipv6.conf.all.forwarding=1 ar an ngaitéagán agus go nglacann a bhalla dóiteáin le paicéid a sheoltar amach as an tollán. Tá cuma cheart ar phaicéad a ródaítear i gceart isteach in aschur a dhiúltaíonn athsheoladh, go díreach mar a bheadh fabht ródaithe ann ó thaobh an chliaint.
An féidir leis an gcliaint a bhealach chuig an deireadh a choinneáil?
Seo an ceann a rug orm ar ríomhaire glúine a raibh deireadh WireGuard aige nach raibh ann ach IPv6. Is gnáthsheoladh domhanda é seoladh an deiridh, mar sin titeann sé laistigh de ::/0. Ródaigh an réimír iomlán isteach sa chomhéadan agus déanfaidh na paicéid chroitheadh láimhe iad féin a ruaigeadh isteach sa tollán atá siad fós ag iarraidh a thógáil. Ní éiríonn an tollán riamh, agus ní deir aon rud in aschur an chliaint cén fáth.
Láimhseálann wg-quick é seo ar Linux. Baineann sé bealaí as AllowedIPs, suiteálann sé iad ina thábla féin agus cuireann sé riail pholasaí leis ionas go réitítear trácht chuig an deireadh tríd an bpríomhthábla ar dtús: an riail suppress_prefixlength 0 a aimsíonn tú in ip -6 rule. Sin an fáth a n-éiríonn le wg-quick up san áit a gcuireann ip -6 route add default dev wg0 scríofa de láimh stop leat.
Seiceáil an dá staid le ip -6 route get <endpoint-v6>, roimh an tollán a ardú agus ina dhiaidh. Má athraíonn an freagra chuig do ghléas tolláin, tá an bealach a theastaíonn ón tollán bainte agat. Nuair a scríobhann tú na bealaí féin, cuir óstbhealach chuig an deireadh tríd an ngaitéagán bunaidh, nó nasc chuig an deireadh thar IPv4 agus fág IPv6 ag an bpálasta.
Cad a chaithfidh fanacht lasmuigh den tollán?
Buaileann bealaí níos sonraí an réamhshocraithe, mar sin leanann réimír ar an nasc nó raon ULA a bhfuil a bhealach féin aige ag obair gan iarracht bhreise. Sin an chúis chiúin a maireann an oiread sin socruithe IPv4 le tollán iomlán: tá réimírí an LAN níos sonraí ná an réamhshocraithe agus ní théann siad isteach sa tollán riamh.
Briseann sé nuair is féidir teacht ar ghléas áitiúil trí sheoladh domhanda, rud atá normálta do phrintéir ar thug an ródaí céanna réimír phoiblí dó, do NAS nó do theilifís. Meaitseálann na seoltaí sin ::/0 agus faic eile, mar sin bogann siad isteach sa tollán le gach rud eile agus imíonn siad.
Cinneadh de réir cinn scríbe, ní de réir prótacail. Má tá beirt nó triúr óstach áitiúil tábhachtach, tabhair bealach amach tríd an gcomhéadan fisiceach dá réimírí, nó bain iad as an tacar a caibidlíodh. Má leanann an liosta ag fás, is é an freagra macánta splanc-thollánú do IPv6 le liosta eisceachtaí scríofa, ní réamhshocrú a bhíonn tú ag paistíocht i gcónaí.
Más é 'níl' an freagra, blocáil é
Ní hionann IPv6 a fhágáil gan ródú agus é a fhágáil ina aonar. Leanann óstach a bhfuil réamhshocrú IPv6 ag obair aige á úsáid agus an tollán ag iompar IPv4, mar sin fágann an trácht le taobh an VPN agus feiceann gach seirbhís a thugann tosaíocht do IPv6 do sheoladh fíor. Is sceitheadh é sin, ní splanc-thollán.
Roghnaigh ceann agus scríobh síos cé acu a roghnaigh tú. Ródaigh an réamhshocrú agus glac leis na comhréitigh thuas, nó díchumasaigh IPv6 ar feadh ré an tolláin. Ní leor an réimír a fhágáil ar lár as AllowedIPs ann féin, mar choinníonn an córas oibriúcháin a réamhshocrú féin. Ar Linux is é an leagan simplí sysctl -w net.ipv6.conf.all.disable_ipv6=1; scaoileann an leagan níos míne IPv6 lasmuigh den tollán le riail bhalla dóiteáin. Tagann cliaint ghutháin le lasc shoiléir chun IPv6 a bhlocáil a dhéanann an obair chéanna.
Fíoraigh é mar sceitheadh
Ardaigh an tollán agus léigh an staid in ionad muinín a chur sa lasc. Ba cheart do ip -6 route show default réamhshocrú amháin a thaispeáint, agus ba cheart do ip -6 route get an gléas tolláin a ainmniú do cheann scríbe lasmuigh de do LAN. Déan an dá rud arís tar éis dícheangail: is é réamhshocrú a mhaireann níos faide ná an tollán an fabht a bhí á lorg agat.
Ansin tástáil an treo eile. Ó óstach ar an líonra áitiúil, sroich an cliant ar a sheoladh IPv6 áitiúil. Mura n-oibríonn sé sin a thuilleadh, níor comhlíonadh coinníoll a trí riamh, cuma cad a mhaígh an tábla ródaithe ag an am.
Scríobh an toradh san áit a bhfaighidh an chéad duine eile é: cé na réimírí a fhanann áitiúil, cén fáth, agus cad a dhéanann an cliant tar éis dícheangail. Sábhálann dhá líne i runbook an chéad innealtóir eile ó lúb an deiridh a athfhionnadh ag meán oíche.