IPv6-útgangur deyr eftir endurræsingu OpenVPN: athugaðu eignarhald forskeytisins

IPv6 hættir að leiða umferð á því augnabliki sem OpenVPN endurræsist, og IPv4 heldur áfram að virka. Tengingin við göngin var endursköpuð, og eitthvað annað sem stýrði IPv6-stöðu hennar missti annaðhvort vistfangið eða leiðina sem gerir forskeytið aðgengilegt. Þrír aðskildir hlutar stöðu koma við sögu, og hver hefur annan eiganda: úthlutað forskeyti þjónustuveitunnar og endingartími þess, vistföngin sem VPN-biðlarar fá, og uppstreymisleiðin sem sendir það biðlaraforskeyti aftur til þjónsins. Greinið eiganda hvers hluta áður en þið snertið nokkurn dæmi, því endurræsing á röngum felur vandamálið í einn dag og kemur því aftur í næstu tengingu.

Þrír hlutar IPv6-stöðu, þrír eigendur

Vistfang með alheimssviði inni í göngunum er ekki nóg eitt og sér. Uppstreymisbeinar þurfa samt að senda það forskeyti aftur til VPN-þjónsins, og þær gera það ekki bara vegna þess að þjónninn hefur fyrir tilviljun vistfang úr því.

Þess vegna er líka áhættusamt að afrita opinbert /64 í laug gangnanna. Forskeyti sem er beint til þjónsins er ekki það sama og forskeyti sem uppstreymið meðhöndlar sem on-link, og nágrannauppgötvun fyllir ekki þetta bil.

Lestu stöðu þjónsins áður en þú breytir einhverju

Skráðu stöðuna tvisvar, einu sinni meðan IPv6 virkar og einu sinni eftir endurræsinguna, og berðu svo saman. Aðeins-lestrar-yfirlit nægja, og þau kosta ekkert á viðhaldssvæði:

ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwarding

Leitaðu að þremur ákveðnum mun: leið sem hvarf, vistfang sem færðist í úreltan eða ógildan endingartíma, og forskeyti sem breyttist eftir endurúthlutun meðan VPN-stillingin kunngerir enn það gamla.

Ef vistfangið hvarf en forskeytið er óbreytt, þá hætti dæmið sem úthlutar því að stýra tengingunni. Ef forskeytið breyttist en vistföngin ekki, þá er stilling biðlarans úrelt. Bæði bilanirnar líta eins út í vafra og eiga ekkert sameiginlegt.

Ákveddu hvort dhcpcd eigi að stýra göngunum

dhcpcd getur fundið tengingar og úthlutað hlutum DHCPv6-forskeytis til niðurstreymistenginga, og stillingin þess getur nefnt úthlutunarmarkmiðin skýrt. Án skýrs markmiðs getur skjalfest hegðun þess náð til annarra tenginga, og þannig endar ganga með vistfang sem enginn hafði skipulagt.

Tvö skilyrði ættu að ýta þér til að láta OpenVPN eiga kyrrstæða vistföngun gangnanna: þjónninn ýtir föstum vistföngum í stillingu sinni, og nafn gangnanna breytist við endurtengingu. Ef bæði gilda, útilokaðu göngin viljandi frá úthlutunardæminu, með athugasemd sem segir hvers vegna.

Ef úthlutun til gangnanna er hins vegar viljandi, útfærðu meðhöndlun forskeytisbreytinga. Það þýðir að bregðast við þegar úthlutaða forskeytið eða endingartími þess breytist, uppfæra kunngert biðlaraforskeyti þjónsins, og bæta leiðinni aftur við. Að útiloka tenginguna í þeirri hönnun fjarlægir eina íhlutinn sem veit af nýja forskeytinu.

Endurræsing dhcpcd getur virst laga hlutina því hún endurskapar stöðu, en hún endurnýjar eða dregur líka til baka stillingar fyrir tengingar sem þú varst ekki að hugsa um. Sú endurheimt gerir hana ekki að skyldu eftir hverja VPN-endurræsingu. Hún núllstillir líka teljarana sem þú notaðir sem sönnun. Veldu markvissa endurhleðslu á þeirri tengingu sem þú breyttir í raun.

Sannprófaðu IPv6 aðskilið frá IPv4 NAT

Staðfestu að áframsending sé virk og að uppstreymisleiðin vísi á raunverulegt biðlaraforskeyti, og búðu svo til nýja leyfða IPv6-tengingu. Athugaðu líka eigin IPv6-leiðatöflu biðlarans, því biðlari sem sýnir opinbert vistfang sannar ekki að beiðni hans hafi notað göngin.

IPv4-möskun leysir annað vandamál: afturleið fyrir einkaaðila. Hún gerir ekkert fyrir afturkallað IPv6-forskekti, og að bæta henni við kemur IPv6 ekki til baka.

Ljúktu með eignarhaldsskrá: hvaða íhlutur úthlutar forskeytinu, hver úthlutar biðlaravistföngunum, hver heldur afturleiðinni, og hvað verður um hvern þeirra við endurtengingu. Fjórar línur í runbook spara næsta manni að endurræsa þrjú dæmi til að finna það sem skipti máli.