IPv6 ფილიალის პრეფიქსი: iroute-ipv6 თუ route-ipv6 სერვერზე?

თითქმის ერთნაირი სახელის ორი დირექტივა ყველა მუშა მაგალითში გვხვდება, და ერთის მეორის გარეშე კოპირება ქმნის გვირაბს, რომელიც სწორად გამოიყურება და ჩუმად კარგავს ფილიალის პრეფიქსს. ისინი სხვადასხვა სამუშაოს ასრულებენ ერთი და იმავე საზღვრის სხვადასხვა მხარეს: ერთი ასწავლის სერვერის ბირთვს, სად ცხოვრობს პრეფიქსი, ხოლო მეორე ასწავლის OpenVPN-ს, რომელი აუთენტიფიცირებული კლიენტი ატარებს მას. თუ ორივე სწორია, პრეფიქსი მიედინება; თუ ერთი, პაკეტებს აქვთ მარშრუტი, მაგრამ არა მფლობელი.

ორი დირექტივა, ორი განსხვავებული სამუშაო

route-ipv6 — ეს ჩვეულებრივი მარშრუტის ინსტალაციაა: სერვერი ამატებს ბირთვის მარშრუტს, რომელიც პრეფიქსს მის გვირაბის ინტერფეისზე მიუთითებს. iroute-ipv6 კონკრეტული კლიენტის კონტექსტს ეკუთვნის და აცხადებს შიდა საკუთრებას, ამიტომ დემონმა იცის, რომ ამ პრეფიქსის ტრაფიკი კონკრეტულ კლიენტს უნდა გაეგზავნოს და არა იმ peer-ს, რომელსაც ბირთვის მარშრუტი შემთხვევით ასახელებს.

ერთი ბირთვის გადაცემის ცხრილს ეხება, მეორე დემონის შიდა მარშრუტიზაციის მოდელს. მათი განცალკევება ხსნის, რატომ შეიძლება სრულყოფილად მოჩვენებულმა კონფიგურაციამ მაინც დაკარგოს პრეფიქსი. ეს ასევე ხსნის, რატომ ჩნდება ერთი და იმავე ქსელი ორჯერ ყველა მუშა მაგალითში. არც ერთი ხაზი არ არის ზედმეტი.

ტრადიციულ userspace განწყობაში ორივე საჭიროა და ისინი ერთმანეთს ავსებენ. მხოლოდ ბირთვის მარშრუტი დემონს peer-ის არჩევის უნარს ართმევს. მხოლოდ iroute ბირთვს გვირაბამდე გზის გარეშე ტოვებს. აქედან მოდის კლიენტ-სპეციფიკურ ფაილებთან დაკავშირებული დაბნეულობის უმეტესობა: ფაილი მარშრუტების ცხრილის ჩანაწერი არ არის, და მარშრუტის ჩანაწერი საკუთრების განცხადება არ არის.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

სად ეკუთვნის თითოეული

მარშრუტი სერვერის მართულ კონფიგურაციაშია, სადაც ის ამ სერვერის პროცესს ეხება. iroute კლიენტ-სპეციფიკურ ფაილშია, რომელიც ფილიალის მოწყობილობის აუთენტიფიცირებული იდენტობის სახელს ატარებს.

ფაილის სახელი, რომელიც რეალურ იდენტობას არ ემთხვევა, არასდროს იკითხება, და სიმპტომი იდენტურია არსებული iroute-ის არარსებობისას. შეამოწმეთ იდენტობა, რომელიც სერვერმა აუთენტიფიცირა, შემდეგ შეამოწმეთ ფაილის სახელი სიმბოლო-სიმბოლოდ.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

პული და ფილიალის პრეფიქსი ცალ-ცალკე შეინახეთ, რადგან მათი გადაფარვა ქმნის თავსატეხს, რომელსაც ვერც ერთი დირექტივა ვერ გადაჭრის.

რა სჭირდება სხვა კლიენტს

მეორე კლიენტს, რომელმაც ამ ფილიალს უნდა მიაღწიოს, სჭირდება განცხადება და არა საკუთრება. გაგზავნეთ პრეფიქსი იმ კლიენტებზე, რომლებიც გსურთ, თქვენს კონფიგურაციას შესაბამის კლიენტურ ან ჯგუფურ კონტექსტში.

ნუ გაუგზავნით მას თავად ფილიალს, რადგან ამ მოწყობილობას პრეფიქსი უკვე აქვს როგორც დაკავშირებული ქსელი.

მისი ყველასთვის გაგზავნა არჩევანია შედეგებით: მაშინ ყველა კლიენტს სჯერა, რომ ფილიალი გვირაბით მისაწვდომია, მათ შორის იმ კლიენტებს, რომლებსაც ეს წვდომა არასდროს უნდოდათ მოგეცათ. განცხადება პრაქტიკაში წვდომის გადაწყვეტილებაა, თუმცა დირექტივა სანტექნიკის სამუშაოს ჰგავს. სერვერის პარამეტრების ცნობარი iroute-ipv6-ს კლიენტ-სპეციფიკურ საკუთრებად აღწერს, და სწორედ ეს განსხვავება ღირს შენარჩუნებად.

დაბრუნების გზა ფილიალის მოწყობილობაზე

საკუთრება მხოლოდ მაშინ ეხმარება, როცა ფილიალი პაკეტებს გადასცემს და მისმა LAN-მა იცის როგორ უპასუხოს. ჩართეთ IPv6-ის გადაცემა ფილიალის მოწყობილობაზე და დაადასტურეთ, რომ მის LAN-ში ჰოსტები VPN პულის ტრაფიკს უკან ფილიალისკენ აგზავნიან და არა ნაგულისხმევი მარშრუტისკენ, რომელმაც პული არ იცის.

ეს დაბრუნების გზა — ის არის IPv6-ის შესატყვისი იმ დაკარგული მარშრუტის პრობლემისა, რომელსაც ხალხი IPv4-ში აწყდება.

შეამოწმეთ ის LAN-ის ჰოსტიდან VPN პულის მისამართზე მოთხოვნით და არა თავად ფილიალიდან. მარშრუტიზატორზე შესრულებული მოთხოვნა სხვა კითხვას პასუხობს, ვიდრე თქვენი მომხმარებლების კითხვა, და ორივე საკმარისად ხშირად არ ემთხვევა, რომ დამატებითი ბრძანება ღირდეს.

როცა წყვილი მაინც არ კმარა

ზოგი განლაგება ამ გზას საერთოდ არ იყენებს. ბირთვის მონაცემთა გზას და პროდუქტის მიერ მართულ სერვერებს აქვთ საკუთარი მხარდაჭერილი მარშრუტების დამუშავება, და userspace-ის მაგალითი შეიძლება პირდაპირ არ გადავიდეს.

სანამ დირექტივებს სხვისთვის დაწერილი სახელმძღვანელოდან დააკოპირებთ, დაადასტურეთ, რომელ მონაცემთა გზას იყენებს თქვენი აწყობა.

დაბოლოს, დაიმახსოვრეთ მისამართების არე: უნიკალური ლოკალური პრეფიქსი, როგორიცაა fd00:7a::/64 , დიზაინით პირადია და არაფერს ამბობს საჯარო IPv6-ის ხელმისაწვდომობაზე. მოეპყარით მას როგორც შიდა წვდომას, და ინტერნეტში გასვლა ცალკე საკითხად შეინახეთ საკუთარი პოლიტიკით.