IPv6 lewat VPN: prefiks yang didelegasikan bukan kumpulan alamat

Pada hari yang sama datang dua permintaan: sebuah laptop memerlukan IPv6 melalui terowongan, dan sebuah situs kecil menginginkan IPv6 untuk perangkat di belakang routernya. Keduanya dijawab dengan alamat, dan yang kedua lalu menghabiskan sepekan gagal. Perannya berbeda, begitu pula mekanismenya, konfigurasinya, dan pemeriksaan yang membuktikan bahwa itu berhasil. Panduan ini menjaganya tetap terpisah.

Langkah satu: tentukan peran mana yang Anda layani

Satu host memerlukan satu alamat pada antarmuka terowongannya, dengan rute ke sisi jauh dan tidak ada apa pun di hilir yang perlu dinomori. Router di belakang terowongan memerlukan satu jaringan utuh yang dapat dibagikannya, ditambah rute di sisi jauh yang mengarahkan alamat itu kembali kepadanya. Apa yang berada di belakang terowongan menentukan setiap keputusan berikutnya.

Jawab pertanyaan itu sebelum membuka konfigurasi apa pun. Semua yang setelah langkah ini bergantung pada jawaban yang Anda berikan.

Langkah dua: penetapan alamat untuk satu host

Tetapkan alamat terowongan, pastikan panjang prefiks yang diharapkan produk, dan periksa bahwa klien memasang rute untuk rentang jauh alih-alih mengirimnya ke gateway default lokal. /128 pada antarmuka terowongan adalah hal normal untuk tautan titik-ke-titik, sedangkan /64 di sana mengklaim jaringan yang tidak didelegasikan siapa pun. Dua keluaran menyelesaikan pertanyaan: tabel alamat dan tabel rute, dibaca di kedua ujung. Bacalah keduanya bersama, karena rute yang menunjuk ke antarmuka yang salah adalah kesalahan paling umum pada langkah ini.

Verifikasi dengan tabel alamat dan rute di kedua ujung, lalu kirim satu permintaan. Jika permintaan keluar dengan benar dan tidak ada yang kembali, kesalahannya ada pada rute sisi jauh, bukan pada alamat klien.

Langkah tiga: delegasi untuk router di belakang terowongan

Delegasi prefiks adalah mekanisme terpisah dari penetapan alamat, dengan permintaannya sendiri dan sewanya sendiri. Sisi yang mendelegasikan harus dikonfigurasi untuk menyerahkan prefiks yang cukup besar bagi jaringan di hilir, dan router yang meminta harus menomori antarmuka dalamnya dari prefiks itu.

Jangan menganggap kumpulan yang melayani klien seluler dapat mendelegasikan. Banyak produk VPN menetapkan alamat tunggal dan sama sekali tidak memiliki peran delegasi, dan prefiks penyedia yang tiba di tepi Anda tidak otomatis diteruskan ke rekan. Catat peran apa yang dilayani setiap kumpulan, karena keduanya dikonfigurasi di tempat berbeda.

Langkah empat: buat rute balik menjadi eksplisit

Kedua ujung harus sepakat rekan mana yang membawa prefiks mana. Di sisi jauh, tambahkan rute untuk jaringan yang didelegasikan yang menunjuk ke terowongan, dan pastikan tidak ada rentang yang tumpang tindih sudah mengklaimnya.

Prefiks yang sah tanpa rute balik menghasilkan rencana pengalamatan yang rapi dan tanpa konektivitas. Rute tanpa aturan akses mengekspos lebih banyak situs daripada yang dimaksudkan, jadi pasangkan kedua perubahan dalam jendela yang sama dan jauhkan keadaan setengah diterapkan dari pengguna.

Langkah lima: verifikasi dari belakang router

Jalankan pemeriksaan secara berurutan: alamat antarmuka terowongan pada klien, prefiks yang didelegasikan pada antarmuka dalam, rute sisi jauh menuju prefiks itu, dan terakhir permintaan dari perangkat di belakang router. Gunakan tujuan yang Anda kendalikan agar blokir senyap dapat dibedakan dari rute yang hilang. Langkah mana pun yang mengejutkan Anda, itulah yang harus diperbaiki sebelum melanjutkan.

Lakukan pemeriksaan terakhir dua kali, sekali dari router itu sendiri dan sekali dari perangkat di belakangnya. Router yang mencapai tujuan sementara kliennya tidak dapat adalah masalah delegasi atau penerusan, bukan masalah di hulu.

Pengembalian

Simpan konfigurasi pengalamatan sebelumnya sebelum perubahan, dan catat mekanisme mana dari kedua itu yang Anda ubah. Menghapus prefiks yang didelegasikan tanpa menghapus rute meninggalkan lubang hitam, dan menghapus rute tanpa prefiks meninggalkan alamat yang tidak dapat dijangkau apa pun. Catat kedua perubahan secara terpisah, karena membatalkan yang satu sementara yang lain tetap membuat situs tidak terjangkau hanya dalam satu arah.

Jika suatu produk ternyata tidak mendukung peran yang Anda butuhkan, berhentilah dan ubah desain alih-alih meregangkan bidang klien untuk menampung rentang yang tidak pernah dimaksudkan untuknya. Kasus dukungan yang dijawab dengan mekanisme yang salah lebih mahal daripada perubahan desain.