IPv6 ág-előtag: iroute-ipv6 vagy route-ipv6 a kiszolgálón?

Két csaknem azonos nevű utasítás jelenik meg minden működő példában, és az egyik a másik nélküli másolása olyan alagutat hoz létre, amely helyesnek látszik, és némán eldobja az ág-előtagot. Különböző munkát végeznek ugyanazon határ két oldalán: az egyik megtanítja a kiszolgáló kernelének, hol lakik egy előtag, a másik pedig megmondja a OpenVPN-nek, hogy melyik hitelesített ügyfél hordozza. Ha mindkettő helyes, az előtag áramlik; ha csak az egyik helyes, a csomagoknak van útvonala, de nincs tulajdonosa.

Két utasítás, két különböző munka

route-ipv6 közönséges útvonal-telepítés: a kiszolgáló kernel-útvonalat ad hozzá, amely az előtagot az alagút-interfészére irányítja. A iroute-ipv6 ügyfélspecifikus környezethez tartozik, és belső tulajdonjogot nyilvánít ki, így a daemon tudja, hogy az adott előtag forgalmát egy adott ügyfélnek kell küldeni, nem pedig annak a partnernek, amelyet egy kernel-útvonal éppen megnevez.

Az egyik a kernel továbbítási táblájáról szól, a másik a daemon belső útvonalkezelési modelljéről. Különválasztásuk megmagyarázza, miért dobhatja el mégis az előtagot egy teljesnek látszó konfiguráció. Azt is megmagyarázza, miért jelenik meg ugyanaz a hálózat kétszer minden működő példában. Egyik sor sem felesleges.

A hagyományos felhasználói térbeli beállításban mindkettőre szükség van, és kiegészítik egymást. Egyedül egy kernel-útvonal azt eredményezi, hogy a daemon nem tud partnert választani. Egyedül egy iroute útvonal nélkül hagyja a kernelt az alagút felé. Innen származik az ügyfelenkénti fájlok körüli zavar nagy része is: a fájl nem útvonaltábla-bejegyzés, és az útvonal-bejegyzés nem tulajdonjogi nyilatkozat.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Hová melyik kerül

Az útvonal a kiszolgáló kezelt konfigurációjába kerül, ahol arra a kiszolgálófolyamatra vonatkozik. Az iroute az ügyfélspecifikus fájlba kerül, amelyet az ágeszköz hitelesített identitásáról neveztek el.

Az effektív identitással nem egyező fájlnevet soha nem olvassák be, és a tünet ugyanaz, mint a hiányzó iroute esetében. Ellenőrizze a kiszolgáló által hitelesített identitást, majd ellenőrizze a fájlnevet karakterről karakterre.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Tartsa külön a poolt és az ág-előtagot, mert átfedésük olyan rejtvényt teremt, amelyet egyetlen utasítás sem tud megoldani.

Mire van szüksége egy másik ügyfélnek

Egy második ügyfélnek, amelynek el kell érnie ezt az ágat, hirdetményre van szüksége, nem tulajdonjogra. Tolja az előtagot azoknak az ügyfeleknek, amelyeket szán neki, a konfigurációjához illő ügyfél- vagy csoportkörnyezetben.

Ne küldje magának az ágnak, mert az az eszköz már csatlakoztatott hálózatként birtokolja az előtagot.

Mindenkinek elküldeni következményekkel járó döntés: minden ügyfél azt hiszi majd, hogy az ág elérhető az alagúton keresztül, beleértve azokat az ügyfeleket is, amelyeknek soha nem szánta ezt a hozzáférést. A hirdetés a gyakorlatban hozzáférési döntés, még ha az utasítás csővezetéknek is látszik. A kiszolgálóbeállítások referenciája az iroute-ipv6 ügyfélspecifikus tulajdonjogként dokumentálja, és ez a különbség az, amit érdemes megtartani.

A visszatérő útvonal az ágeszközön

A tulajdonjog csak akkor segít, ha az ág továbbítja a csomagokat, és a LAN-ja tud válaszolni. Engedélyezze az IPv6 továbbítást az ágeszközön, és ellenőrizze, hogy a LAN-ján lévő gazdagépek a VPN-pool forgalmát az ág felé küldik-e vissza, nem pedig egy olyan alapértelmezett útvonal felé, amely nem ismeri a poolt.

Az a visszatérő útvonal az IPv6 megfelelője annak a hiányzó útvonal problémának, amellyel az emberek IPv4 esetén találkoznak.

Ellenőrizze egy LAN-gazdagépről a VPN-pool címére irányuló lekérdezéssel, nem magáról az ágról. Az útválasztón végzett lekérdezés más kérdésre válaszol, mint amelyet a felhasználói feltesznek, és a kettő elég gyakran ellentmond egymásnak ahhoz, hogy megérje a plusz parancsot.

Amikor a pár még mindig nem elég

Egyes telepítések egyáltalán nem használják ezt az utat. A kernel adatútja és a termék által kezelt kiszolgálók saját támogatott útvonalkezeléssel rendelkeznek, és előfordulhat, hogy egy felhasználói térbeli példa nem fordítható le közvetlenül.

Erősítse meg, melyik adatutat használja a buildje, mielőtt utasításokat másolna egy a másikhoz írt útmutatóból.

Végül emlékezzen a címhatókörre: az fd00:7a::/64 höz hasonló egyedi helyi előtag tervezésénél fogva privát, és semmit sem mond a nyilvános IPv6 elérhetőségről. Kezelje belső hozzáférésként, és tartsa az internetes kimenetet külön kérdésként, saját szabályzattal.