Delegation na prefix na IPv6 a kan VPN daga wuri zuwa wuri: jerin duba

Tada ramin shine rabin mai sauƙi. Na ga hanyar haɗi daga wuri zuwa wuri ta tsaya a buɗe kwanaki da yawa yayin da kowane mai masauki a LAN mai nisa ke samun shiru a amsa, saboda prefix ɗin da aka wakilta bayan wannan ƙofar an saita shi a wata fuska amma ba a taɓa tura shi cikin ramin ba. Adireshin ramin suna amsa ping duk tsawon lokacin, kuma dalilin da ya sa babu wanda ya duba prefix ɗin ke nan. Ga tsarin da nake dubawa lokacin da prefix na IPv6 da aka wakilta ya haye VPN na wuri: taswirar prefix, masu zaɓin zirga-zirga, turawa gaba da katangar wuta, sannan hanyar dawowa.

Rubuta taswirar prefix kafin ka taɓa ramin

Wakilcin prefix yana ba da wani yanki ga na'urar turawa da ta nemi shi. Ba ya sanya hanya a abokin tarayya, ba ya faɗaɗa wannan yanki a kan hanyar haɗi, kuma ba ya gaya wa ƙofar nesa abin da ke bayan na'urar da ta nema. Waɗannan abubuwa uku naka ne ka saita, kuma suna cikin tsarin adireshi kafin kowane fayil ɗin tsari ya canza.

Ga kowane wuri, rubuta prefix ɗin da aka wakilta, /64 ɗin da ake amfani da shi a LAN, adireshin ramin da kuma mai kowane hanya. Mai bayarwa yana wakilta 2001:db8:a1::/56 ga wuri A, wanda ke ba da 2001:db8:a1:10::/64 a LAN ɗinsa; wuri B yana riƙe 2001:db8:b2::/64. Idan wuri A yana ba da wannan /64 ɗin kaɗai, ya kamata ɓangarorin biyu su ambaci 2001:db8:a1:10::/64 maimakon dukan /56.

Kuskure biyu suna bayyana kusan kowane lokaci. Ɗaya shine ɗaukar prefix ɗin nesa a matsayin wanda ke kan hanyar haɗi, yin gada da shi ko sanya shi a fuskar ramin domin ƙofar ta amsa tambayar maƙwabci ga masu masaukin da ba za ta iya isa ba. Ɗayan kuma shine sanar da dukan /56 yayin da /64 ɗaya kaɗai aka saita: teburin hanya yana da'awar cewa yankin ana iya isa gare shi kuma yawancin adiresoshin suna faɗowa cikin baƙin rami.

Daidaitu masu zaɓin zirga-zirga na ɓangarorin biyu da hanyoyin

IKEv2 da WireGuard duka suna ƙin zirga-zirgar da ba ta dace ba, cikin nutsuwa har ramin har yanzu yana kama da lafiya.

A strongSwan masu zaɓin a bayyane suke. A wuri A:

conn a-to-b
    left=2001:db8:ff::1
    leftsubnet=2001:db8:a1:10::/64
    right=2001:db8:ff::2
    rightsubnet=2001:db8:b2::/64
    auto=start

conn na wuri B yana madubi da ƙananan cibiyoyin biyu. Idan ba su daidaita, mai amsawa yana ƙin CHILD_SA da TS_UNACCEPTABLE, don haka SA ɗan bai taɓa tashi ba ko da IKE_SA ya tashi. A ɓangarorin biyu ƙananan cibiyar da aka saita dole ta yi daidai da abin da kernel na gida ke turawa zuwa ramin.

WireGuard yana ɗaukar wannan bayanin a AllowedIPs, da juyi ɗaya: AllowedIPs matattarar tushe ce a karɓa kuma hanya ce a aikawa. Idan shigarwar abokin tarayya na wuri B ga wuri A ta bar 2001:db8:a1:10::/64, fakitin wuri A suna zuwa akan musafaha mai inganci kuma ana watsar da su a matsayin waɗanda ba a yarda da su ba. Wannan yana haifar da sanannen tsari na musafaha da ke sabuntawa kullum yayin da babu amsa da ke fita. Kwatanta ɓangarorin biyu da wg show wg0 allowed-ips. Sake duba wannan jerin duk lokacin da wakilcin ya canza; /64 da ya tsufa yana riƙe zaman a buɗe kuma sabon prefix ɗin ba ya isarsa.

Fara ware turawa gaba, katangar wuta da MTU

Kafin ka karanta wani layin log, tabbatar da ƙofofin suna turawa gaba kwata-kwata. sysctl net.ipv6.conf.all.forwarding dole ya dawo da 1 a duka biyun, ana amfani da shi akan fuskokin ramin da LAN kuma. Wata tarko tana zuwa tare: da zarar an kunna turawa gaba, fuska mai accept_ra=1 ta daina karɓar sanarwar na'urar turawa daga mai bayarwa, don haka na'urar na iya rasa hanyar da ta saba ta sama yayin da take turawa daidai a cikin ramin. Saita accept_ra=2 inda har yanzu ake buƙatar RA daga mai bayarwa.

Sannan dokokin katangar wuta dole su yarda da prefix ɗin a duka kwatance biyu, kuma ICMPv6 dole ya tsira: gano maƙwabci, fakiti-mafi-girma da makoma-marar-isa ba na zaɓi ba ne. Idan ka watsar da su, gano MTU na hanya yana lalacewa, kuma za ka sami haɗin da ke buɗewa sannan ya tsaya a amsa babba ta farko. Ƙananan ƙa'idoji biyu suna kama da haka:

nft add rule inet filter forward ip6 saddr 2001:db8:a1:10::/64 ip6 daddr 2001:db8:b2::/64 accept
nft add rule inet filter forward ip6 saddr 2001:db8:b2::/64 ip6 daddr 2001:db8:a1:10::/64 accept
nft add rule inet filter forward icmpv6 type { packet-too-big, nd-neighbor-solicit, nd-neighbor-advert } accept

MTU yana bayan wannan. Rami yana rage MTU mai amfani ƙasa da 1500, kuma IPv6 yana buƙatar kowace hanyar haɗi ta ɗauki aƙalla 1280. Ƙananan ping suna wucewa, zaman SSH yana daskarewa a kan babban fashewa, kuma /proc/net/snmp6 yana nuna saƙonnin fakiti-mafi-girma waɗanda ba sa dawowa. Saita MTU na ramin a fili, ko matse TCP MSS a teburin mangle, kuma bar ICMPv6 da ke ba da rahoton ƙaramin MTU ya dawo.

Gwada hanyar dawowa, ba adireshin ramin ba

Rashin da ya fi cin lokaci shine turawa ta gefe ɗaya. Kowace ƙofa tana tura prefix ɗin nesa cikin ramin, amma masu masauki suna amsawa ta ƙofarsu ta al'ada domin /64 ɗinsu yana nan. Isar da fakiti zuwa makoma rabin hanya ne kawai.

Umarni biyu suna warware yawancinsa. A wuri A ip -6 route get 2001:db8:b2::53 from 2001:db8:a1:10::5 yana nuna wace fuska amsa daga wannan tushen za ta yi amfani da ita; yi madubin dubawa a wuri B. Sannan haifar da zirga-zirga daga mai masauki maimakon ƙofar kuma kwatanta ƙididdiga a ɓangarorin biyu.

Idan tambayar maƙwabci ga prefix ɗin nesa ta bayyana a ramin, wannan prefix ɗin yana kan hanyar haɗi a wani wuri da bai kamata ya kasance ba; gyara hakan kafin ka daidaita hanyoyi. Proxy NDP yana rufe lokuta inda gada ke da buƙata ta gaske, ba madadin hanya ba ne.

Yi shiri don prefix ɗin ya canza a ƙarƙashinka

Wakilcin prefix haya ne tsakanin na'urar da ke wakilta da na'urar da ke nema, kuma sabuntawa na iya dawo da wani yanki daban: wani /56 bayan ƙaura ta mai bayarwa, ko hayar da ta fi guntu fiye da lokacin da ramin ya kasance a buɗe. Kowane wuri da ke ambaton tsohon prefix ɗin yana tsufa gaba ɗaya: hanyoyi, masu zaɓi, AllowedIPs, dokokin katangar wuta, rikodin DNS da duk wani sa ido da ke hardcode adireshi na zahiri. Tafiyar saƙon tana cikin RFC 8415.

Inda ake tsammanin prefix ɗin zai motsa, riƙe tsarin adireshi na ciki wanda bai dogara da shi ba kuma fassara a kan iyaka. NPTv6 shine zaɓi marar yanayi kuma yana riƙe manufofin ciki cikin sauƙin karantawa, amma fassarar prefix ce, ba wani sihiri ba: iyakokin /64 dole su jitu, ana daidaita jimillar dubawa, kuma aikace-aikacen da ke saka adireshi na zahiri har yanzu suna karye. Idan ka riƙe adireshin mai bayarwa daga farko zuwa ƙarshe, rubuta halin haya da hanyar canji a cikin tsarin adireshi.

Kammala da gwajin da zai jure lokaci: mai masaukin da aka yarda a kowane LAN yana isa sabis a ɗayan LAN, amsar tana dawowa ta ramin, kuma ma'auratan nan suna aiki har yanzu bayan sake kunna ramin da sabunta wakilcin. Idan ɓangaren ƙarshe ya kasa, tsarin ya dogara da yanayin da ba zai wuce mako ba.