IPv6 ելքը մահանում է OpenVPN-ի վերագործարկումից հետո. ստուգեք նախածանցի սեփականությունը
IPv6-ը մահանում է, երբ թունելը նորից ստեղծվում է։ Նախքան որևէ բան վերագործարկելը որոշեք, թե ով է տիրապետում պատվիրակված նախածանցին, հաճախորդի հասցեներին և վերադարձի երթուղուն։
IPv6-ը դադարում է տրաֆիկ անցկացնել այն պահին, երբ OpenVPN վերագործարկվում է, իսկ IPv4-ը շարունակում է աշխատել։ Թունելի ինտերֆեյսը նորից ստեղծվեց, և մեկ այլ բան, որը կառավարում էր նրա IPv6 վիճակը, կորցրեց կամ հասցեն, կամ այն երթուղին, որը նախածանցը դարձնում է հասանելի։ Ներգրավված են վիճակի երեք առանձին մասեր, և յուրաքանչյուրն ունի տարբեր տեր՝ մատակարարի պատվիրակված նախածանցը և դրա կյանքի տևողությունը, VPN հաճախորդներին տրված հասցեները, և վերին երթուղին, որը այդ հաճախորդի նախածանցը հետ է ուղարկում սերվեր։ Որոշեք յուրաքանչյուրի տիրոջը նախքան որևէ դեմոնի դիպչելը, որովհետև սխալը վերագործարկելը մեկ օրով թաքցնում է խնդիրը և վերադարձնում այն հաջորդ միացման ժամանակ։
IPv6 վիճակի երեք մաս, երեք տեր
| State | Typical owner | What breaks when it is wrong |
|---|---|---|
| Delegated prefix and lifetime | Upstream router or provider via DHCPv6-PD | Clients keep addresses that the upstream no longer routes |
| Client addresses inside the tunnel | OpenVPN server config or a delegation daemon | No global address, or an address outside the routed prefix |
| Return route for the client prefix | Upstream router, or the server's own routing table | Outbound works, replies never arrive |
Թունելի ներսում գլոբալ շրջանակի հասցեն ինքնին բավարար չէ։ Վերին երթուղիչները դեռ պետք է այդ նախածանցը հետ ուղարկեն դեպի VPN սերվեր, և նրանք դա չեն անի միայն այն պատճառով, որ սերվերը պատահաբար դրանից հասցե ունի։
Այդ պատճառով էլ հանրային /64-ը թունելի լողավազան պատճենելը ռիսկային է։ Սերվերին ուղղորդված նախածանցը նույնը չէ, ինչ վերին կողմը on-link համարող նախածանցը, և հարևանների հայտնաբերումը այդ բացը չի լրացնի։
Կարդացեք սերվերի վիճակը նախքան որևէ բան փոխելը
Գրանցեք վիճակը երկու անգամ՝ մեկ անգամ, երբ IPv6-ը աշխատում է, և մեկ անգամ վերագործարկումից հետո, ապա համեմատեք, և միայն կարդալու դիտումները բավարար են ու պահպանման պատուհանի ընթացքում ոչինչ չեն արժենա։
ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwardingՓնտրեք երեք կոնկրետ տարբերություն՝ անհետացած երթուղի, հնացած կամ անվավեր կյանքի տևողության անցած հասցե, և նախածանց, որը փոխվել է վերապատվիրակումից հետո, մինչ VPN կոնֆիգուրացիան դեռ հինն է հայտարարում։
Եթե հասցեն անհետացել է, բայց նախածանցը չի փոխվել, ապա այն նշանակող դեմոնը դադարել է կառավարել ինտերֆեյսը։ Եթե նախածանցը փոխվել է, բայց հասցեները ոչ, ապա հաճախորդի կոնֆիգուրացիան հնացած է։ Երկու խափանումները բրաուզերից նույնն են երևում և ոչինչ ընդհանուր չունեն։
Որոշեք՝ արդյոք dhcpcd-ն պետք է կառավարի թունելը
dhcpcd-ն կարող է հայտնաբերել ինտերֆեյսներ և DHCPv6 նախածանցի մասերը պատվիրակել ստորին ինտերֆեյսներին, և նրա կոնֆիգուրացիան կարող է հստակ նշել պատվիրակման թիրախները։ Առանց հստակ թիրախի, նրա փաստաթղթավորված վարքը կարող է ընդգրկել այլ ինտերֆեյսներ, և այդպես է թունելը ստանում մի հասցե, որը ոչ ոք չէր ծրագրել։
Երկու պայման պետք է ձեզ մղեն թունելի ստատիկ հասցեավորումը OpenVPN-ին թողնելուն՝ սերվերը իր կոնֆիգուրացիայում հաստատուն հասցեներ է մղում, և թունելի անունը փոխվում է վերամիացման ժամանակ։ Եթե երկուսն էլ ճիշտ են, ապա դիտավորյալ բացառեք թունելը պատվիրակման դեմոնից՝ մեկնաբանությամբ, որը բացատրում է պատճառը։
Եթե փոխարենը դեպի թունել պատվիրակումը դիտավորյալ է, ներդրեք նախածանցի փոփոխության մշակումը։ Դա նշանակում է արձագանքել, երբ պատվիրակված նախածանցը կամ դրա կյանքի տևողությունը փոխվում է, թարմացնել սերվերի հայտարարած հաճախորդի նախածանցը և նորից ավելացնել երթուղին։ Այդ ձևավորման մեջ ինտերֆեյսը բացառելը հեռացնում է նոր նախածանցի մասին իմացող միակ բաղադրիչը։
dhcpcd-ն վերագործարկելը կարող է թվալ, թե ուղղում է ամեն ինչ, քանի որ վիճակը նորից է ստեղծում, բայց այն նաև թարմացնում կամ հետ է վերցնում կոնֆիգուրացիան այն ինտերֆեյսների համար, որոնց մասին չէիք մտածում։ Այդ վերականգնումը այն պարտադիր չի դարձնում յուրաքանչյուր VPN վերագործարկումից հետո։ Այն նաև զրոյացնում է այն հաշվիչները, որոնք որպես ապացույց էիք օգտագործում։ Նախընտրեք ձեր իրականում փոխած ինտերֆեյսի նպատակային վերաբեռնումը։
Ստուգեք IPv6-ը IPv4 NAT-ից առանձին
Համոզվեք, որ փոխանցումը միացված է, և վերին երթուղին ուղղված է իրական հաճախորդի նախածանցին, ապա ստեղծեք նոր թույլատրված IPv6 միացում։ Ստուգեք նաև հաճախորդի սեփական IPv6 երթուղիների աղյուսակը, որովհետև հանրային հասցե ցուցադրող հաճախորդը չի ապացուցում, որ նրա հարցումն օգտագործել է թունելը։
IPv4-ի քողարկումը լուծում է այլ խնդիր՝ վերադարձի ուղին մասնավոր աղբյուրների համար։ Այն ոչինչ չի անում հետ վերցված IPv6 նախածանցի համար, և դրա ավելացումը IPv6-ը հետ չի բերի։
Ավարտեք սեփականատիրության գրանցմամբ՝ ո՞ր բաղադրիչն է պատվիրակում նախածանցը, որը՝ նշանակում հաճախորդի հասցեները, որը՝ պահում վերադարձի երթուղին, և ինչ է պատահում յուրաքանչյուրին վերամիացման ժամանակ։ Runbook-ի չորս տողը փրկում է հաջորդ մարդուն երեք դեմոն վերագործարկելուց՝ գտնելու այն մեկը, որն իսկապես կարևոր էր։