Shin zirga-zirgar IPv6 ta ratsa VPN ko kai tsaye?
Yanke shawara ko ::/0 yana cikin ramin, da sharuɗɗa uku: tallafin fitowa, isa ga ƙarshen hanya da cibiyoyin sadarwa na gida kawai.
Wasu mutane biyu sun nemi sakamako dabam-dabam a wurina a watan da ya gabata: ɗaya yana son VPN ta rufe IPv6, ɗayan kuma yana son firintar ofis ɗin ta ci gaba da aiki. Hanya ɗaya ::/0 ba za ta iya samar da duka biyun da kanta ba. Ko wannan hanyar tana cikin ramin ya dogara da sharuɗɗa uku, kuma na farko yana cire ta ga yawancin fitowar kasuwanci. Idan fitowar ba ta ɗauke da IPv6, tura hanyar da aka saba zuwa cikinta yana ɓoye zirga-zirgar ku a cikin ramin da ba shi da inda zai aika ta.
Sharuɗɗa uku ne ke yanke amsar
Hanyar da aka saba layi ɗaya ce, ::/0, kuma tana dacewa da kowace manufa ta IPv6 da ba ta da takamaiman hanya (RFC 4291). Shigar da ita abu ne mai sauƙi. Yanke shawara ko ya kamata ku yi hakan ya dogara da sharuɗɗa uku.
Sharadi na ɗaya: fitowar da kuke haɗawa da ita tana da IPv6 mai aiki kuma tana shirye ta tura shi. Sharadi na biyu: abokin cinikinku zai iya riƙe hanya zuwa ƙarshen ramin, wanda yawanci yana cikin kewayon da kuke shirin turawa. Sharadi na uku: za ku iya ambaton manufofin IPv6 na gida waɗanda dole su kasance a wajen ramin.
Kowace sharadi tana kasawa ta hanyarta, shi ya sa yin hasashe yana ɗaukar dukan maraice. Sharadi na ɗaya da ya kasa yana ba ku shiru da teburin hanya mai kama da daidai. Sharadi na biyu da ya kasa yana kashe musabaha 'yan daƙiƙa kaɗan bayan farawa. Sharadi na uku da ya kasa yana barin rami mai aiki da abokin aiki mara jin daɗi a wajen firinta.
| What you see | Decision |
|---|---|
| Exit answers IPv6 probes, no local IPv6 devices to protect | Route ::/0 into the tunnel |
| Exit answers IPv6 probes, printer or NAS reachable by a global address | Route ::/0, then give those prefixes a route of their own |
| Exit is IPv4-only inside the tunnel | Do not route ::/0; block IPv6 on the client |
Endpoint is reached over IPv6 and sits inside ::/0 | Install a host route for the endpoint first |
Shin fitowar da gaske tana ɗauke da IPv6?
Ƙofar rami mai adireshin IPv6 ba ta tabbatar da komai game da wancan gefen ba. Yawancin bayanan kasuwanci a ciki IPv4 ne kawai: uwar garke tana ba ku adireshin v4 kuma ta watsar da duk sauran. Saka hanyar da aka saba daga AllowedIPs a kai, kuma kernel zai aika IPv6 cikin farin ciki zuwa ƙofar da abokinta ba ya ganinta.
Gwada daga abokin ciniki yayin da ramin yake aiki. ping -6 -c 3 2001:4860:4860::8888 da ip -6 route get 2001:4860:4860::8888 suna amsa tambayoyi daban-daban: ko amsa tana dawowa, da wace na'ura kernel ya zaɓa. Lokacin da na biyu ya ambaci raminku kuma na farko bai dawo da komai ba, matsalar tana cikin fitowar, ba cikin hanya ba.
Idan ku da kanku kuke tafiyar da fitowar, gwajin abokin ciniki zai iya wucewa kuma hanyar har yanzu ta ƙare a ɓarna. Tabbatar da net.ipv6.conf.all.forwarding=1 a kan ƙofar shiga da cewa matattarar wutanta tana karɓar fakiti da aka tura daga ramin. Fakitin da aka tura daidai zuwa fitowar da ta ƙi turawa yana kama da kuskuren turawa daga wurin abokin ciniki.
Shin abokin ciniki zai iya riƙe hanyarsa zuwa ƙarshen?
Wannan shi ne wanda ya kama ni a kan kwamfutar tafi-da-gidanka mai ƙarshen WireGuard na IPv6 kawai. Adireshin ƙarshen adireshi ne na duniya na yau da kullum, saboda haka yana cikin ::/0. Tura dukan prefix ɗin cikin ƙofar kuma fakitin musabaha za su kore kansu cikin ramin da suke ƙoƙarin ginawa. Ramin ba ya tashi har abada, kuma babu abin da ke cikin fitowar abokin ciniki ya faɗi dalili.
wg-quick yana magance wannan a Linux. Yana fitar da hanyoyi daga AllowedIPs, yana saka su a cikin teburinsa, kuma yana ƙara ƙa'idar manufa domin zirga-zirga zuwa ƙarshen a fara warware ta ta babban teburi: ƙa'idar suppress_prefixlength 0 da za ku samu a ip -6 rule. Shi ya sa wg-quick up ke yin nasara inda ip -6 route add default dev wg0 da aka rubuta da hannu ya yanke ku.
Duba duka yanayin biyu da ip -6 route get <endpoint-v6>, kafin da bayan tayar da ramin. Idan amsar ta koma ga na'urar raminku, kun cire hanyar da ramin yake buƙata. Lokacin da kuke rubuta hanyoyin da kanku, ƙara hanyar mai masauki zuwa ƙarshen ta hanyar ƙofar farko, ko haɗa da ƙarshen ta IPv4 kuma ku bar IPv6 ga kaya.
Me ya kamata ya kasance a wajen ramin?
Hanyoyi mafi takamaimai suna cin nasara a kan na yau da kullum, saboda haka prefix na kan hanyar sadarwa ko kewayon ULA mai nata hanya yana ci gaba da aiki ba tare da ƙarin ƙoƙari ba. Wannan shi ne dalilin shiru da yasa yawancin saitunan IPv4 na cikakken rami suke rayuwa: prefix ɗin LAN sun fi na yau da kullum takamaimai kuma ba sa shiga ramin.
Yana karyewa lokacin da na'urar gida za a iya samunta ta adireshin duniya, wanda ya zama al'ada ga firinta da router ɗaya ya ba ta prefix na jama'a, NAS, ko talabijin. Waɗannan adiresoshin sun dace da ::/0 kuma ba wani abu ba, saboda haka suna ƙaura cikin ramin tare da duk sauran kuma suna ɓacewa.
Yanke shawara bisa ga manufa, ba bisa ga yarjejeniya ba. Idan masaukai biyu ko uku na gida suna da muhimmanci, ba prefix ɗinsu hanyar fita ta ƙofar zahiri, ko cire su daga jerin da aka tattauna. Idan jerin ya ci gaba da girma, amsar gaskiya ita ce raba rami don IPv6 tare da rubutaccen jerin keɓancewa, ba hanyar da aka saba da kuke ci gaba da gyara ba.
Idan amsar ita ce a'a, toshe shi
Barin IPv6 ba tare da hanya ba ba daidai yake da barin shi shi kaɗai ba. Mai masauki da ke da aikin IPv6 na yau da kullum yana ci gaba da amfani da shi yayin da ramin ke ɗauke da IPv4, saboda haka zirga-zirgar tana fita gefen VPN kuma kowace hidima da ta fi son IPv6 tana ganin ainihin adireshinku. Wannan ɗigowa ne, ba rabin rami ba.
Zaɓi ɗaya kuma rubuta wanda kuka zaɓa. Tura hanyar da aka saba kuma yarda da sauye-sauyen da ke sama, ko kashe IPv6 na tsawon lokacin ramin. Barin prefix ɗin daga AllowedIPs bai isa shi kaɗai ba, domin tsarin aiki yana riƙe da nasa na yau da kullum. A Linux sigar da ba ta da hankali ita ce sysctl -w net.ipv6.conf.all.disable_ipv6=1; sigar mafi kyau tana fitar da IPv6 a wajen ramin da ƙa'idar matattarar wuta. Abokan cinikin waya suna da maɓallin toshe IPv6 bayyananne wanda ke yin aikin ɗaya.
Tabbatar da shi kamar ɗigowa
Tayar da ramin kuma karanta yanayin maimakon amincewa da maɓallin. ip -6 route show default ya kamata ya nuna ɗaya na yau da kullum, kuma ip -6 route get ga manufa a wajen LAN ɗinku ya kamata ya ambaci na'urar ramin. Maimaita duka biyu bayan cire haɗi: hanyar da aka saba da ta wuce ramin ita ce kuskuren da kuke nema.
Sannan gwada ɗayan alkibla. Daga mai masauki a cibiyar sadarwar gida, isa ga abokin ciniki a adireshinsa na IPv6 na gida. Idan hakan ya daina aiki, sharadi na uku bai taɓa cika ba, duk abin da teburin hanya ya faɗa a lokacin.
Rubuta sakamakon a inda mutum na gaba zai same shi: waɗanne prefix ɗin ke zama na gida, me ya sa, da abin da abokin ciniki ke yi bayan cire haɗi. Layuka biyu a cikin runbook suna ceton injiniya na gaba daga sake gano madaukin ƙarshen da tsakar dare.