IPv6-útibúsforskeyti: iroute-ipv6 eða route-ipv6 á netþjóninum?

Tvær tilskipanir með næstum sama nafni birtast í hverju virku dæmi, og að afrita aðra án hinnar framleiðir göng sem líta rétt út og sleppa útibúsforskeytinu í hljóði. Þær sinna mismunandi verkum á mismunandi hliðum sömu mörkum: önnur kennir kjarna netþjónsins hvar forskeyti býr, og hin kennir OpenVPN hvaða auðkenndi biðlari ber það. Fáðu bæði rétt og forskeytið streymir; fáðu annað rétt og pakkarnir hafa leið en engan eiganda.

Tvær tilskipanir, tvö mismunandi verk

route-ipv6 er venjuleg leiðaruppsetning: netþjóninn bætir við kjarnaleið sem vísar forskeytinu á göngviðmótið sitt. iroute-ipv6 tilheyrir biðlarasérstöku samhengi og lýsir yfir innri eignarhaldi, svo baggræðan viti að umferð fyrir það forskeyti eigi að fara til ákveðins biðlara frekar en til þess jafningja sem kjarnaleið nefnir fyrir tilviljun.

Önnur snýst um áframsendingartöflu kjarnans, hin um innra leiðalíkan baggræðunnar. Að halda þeim aðskildum skýrir hvers vegna stilling sem virðist fullkomin getur samt sleppt forskeytinu. Það skýrir líka hvers vegna sama net birtist tvisvar í hverju virku dæmi. Hvorug lína er óþörf.

Í hefðbundnu notendarými þarf bæði og þau styðja hvort annað. Kjarnaleið ein sér gerir baggræðunni ókleift að velja jafningja. iroute ein sér skilur kjarnann eftir án leiðar að göngunum. Hérna kemur líka mestur hluti ruglingsins um skrár fyrir hvern biðlara: skráin er ekki færsla í leiðatöflu, og leiðarfærslan er ekki yfirlýsing um eignarhald.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Hvar hvort á heima

Leiðin fer í stýrða stillingu netþjónsins, þar sem hún gildir fyrir það netþjónsferli. iroute fer í biðlarasérstöku skrána sem heitir eftir auðkenndri auðkenni útibústækisins.

Skráarheiti sem passar ekki við raunverulega auðkennið er aldrei lesið, og einkennin eru nákvæmlega eins og þegar iroute vantar. Athugaðu auðkennið sem netþjóninn auðkenndi og athugaðu síðan skráarheitið staf fyrir staf.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Haltu lauginni og útibúsforskeytinu aðskildum, því skörun þeirra skapar ráðgátu sem engin tilskipun getur leyst.

Hvað annar biðlari þarf

Annar biðlari sem á að ná þessu útibúi þarf tilkynningu, ekki eignarhald. Ýttu forskeytinu til þeirra biðlara sem þú meinar, í því biðlara- eða hópsamhengi sem passar stillingunni þinni.

Ekki senda það á útibúið sjálft, því það tæki er þegar með forskeytið sem tengt net.

Að senda það á alla er val með afleiðingum: hver biðlari trúir þá að útibúið sé aðgengilegt um göngin, þar á meðal biðlarar sem þú ætlaðir aldrei að veita þann aðgang. Tilkynning er í reynd aðgangsákvörðun, þótt tilskipunin líti út eins og pípulagnir. tilvísun í valkosti netþjóns skjalfestir iroute-ipv6 sem biðlarasérstakt eignarhald, og það er greinarmunurinn sem er þess virði að halda.

Afturleiðin á útibústækinu

Eignarhald hjálpar aðeins ef útibúið áframsendir pakka og LAN þess veit hvernig á að svara. Virkjaðu IPv6-áframsendingu á útibústækinu og staðfestu að hýslar á LAN þess sendi umferð fyrir VPN-laugina til baka í átt að útibúinu frekar en í átt að sjálfgefinni leið sem þekkir ekki laugina.

Sú afturleið er IPv6-hliðstæðan við vandamálið um leiðina sem vantar sem fólk lendir í með IPv4.

Athugaðu það frá hýsli á LAN með uppflettingu á netfangi VPN-laugarinnar, ekki frá útibúinu sjálfu. Uppfletting á beininum svarar annarri spurningu en sú sem notendur þínir spyrja, og þær tvær eru nógu oft ósammála til að vera þess virði að keyra aukaskipunina.

Þegar parið er enn ekki nóg

Sumar uppsetningar nota þessa leið alls ekki. Gagnaleið kjarnans og netþjónar sem stýrt er af vörunni hafa sína eigin studdu leiðarmeðferð, og dæmi úr notendarými gæti ekki flust beint yfir.

Staðfestu hvaða gagnaleið byggingin þín notar áður en þú tekur tilskipanir úr leiðarvísi sem er skrifaður fyrir hina.

Að lokum, mundu eftir vistfangsbilinu: einkvæmt staðbundið forskeyti eins og fd00:7a::/64 er einkaaðgangsefni að hönnun og segir ekkert um opinbera IPv6-náanleika. Líttu á það sem innri aðgang og haltu útgangi á interneti aðskildum spurningum með eigin stefnu.