IPv6 филиал префиксі: серверде iroute-ipv6 немесе route-ipv6?

Атауы бірдей дерлік екі директива әрбір жұмыс істейтін мысалда кездеседі, ал біреуін екіншісінсіз көшіру дұрыс көрінетін, бірақ филиал префиксін үнсіз жоғалтатын туннель жасайды. Олар бір шекараның екі жағында түрлі жұмыс атқарады: біреуі сервер ядросына префикстің қайда тұратынын үйретсе, екіншісі OpenVPN қай расталған клиент оны тасымалдайтынын үйретеді. Екеуі де дұрыс болса, префикс ағады; біреуі дұрыс болса, пакеттерде маршрут бар, бірақ иесі жоқ.

Екі директива, екі түрлі жұмыс

route-ipv6 — қарапайым маршрут орнату: сервер префиксті өз туннель интерфейсіне көрсететін ядро маршрутын қосады. iroute-ipv6 нақты клиент контекстіне жатады және ішкі тиесілілікті жариялайды, сондықтан демон бұл префикс трафигі ядро маршруты кездейсоқ атаған peer-ге емес, нақты клиентке жіберілуі керектігін біледі.

Біреуі ядроның қайта жіберу кестесіне, екіншісі демонның ішкі маршруттау моделіне қатысты. Оларды бөлек ұстау толық көрінетін конфигурацияның неге префиксті жоғалтуы мүмкін екенін түсіндіреді. Бұл сондай-ақ бірдей желінің әрбір жұмыс істейтін мысалда неге екі рет кездесетінін түсіндіреді. Екі жолдың ешқайсысы артық емес.

Дәстүрлі userspace конфигурациясында екеуі де қажет және бірін-бірі толықтырады. Жалғыз ядро маршруты демонды peer таңдай алмайтын күйде қалдырады. Жалғыз iroute ядроны туннельге баратын жолсыз қалдырады. Жеке клиент файлдары туралы шатасудың көбі осыдан шығады: файл — маршрут кестесінің жазбасы емес, ал маршрут жазбасы — тиесілілік туралы мәлімдеме емес.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Қайсысы қайда жатады

Маршрут сервердің басқарылатын конфигурациясына түседі, онда ол сол сервер процесіне қолданылады. iroute клиентке тән файлға түседі, ол филиал құрылғысының расталған жеке басының атымен аталады.

Нақты жеке баспен сәйкеспейтін файл атауы ешқашан оқылмайды, ал симптом жоқ iroute-пен бірдей. Сервер растаған жеке басты тексеріңіз, содан кейін файл атауын таңба-таңбамен тексеріңіз.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Пул мен филиал префиксін бөлек ұстаңыз, өйткені олардың қабаттасуы ешбір директива шеше алмайтын жұмбақ жасайды.

Басқа клиентке не қажет

Сол филиалға жетуі тиіс екінші клиентке тиесілілік емес, хабарлама қажет. Префиксті өзіңіз көздеген клиенттерге конфигурацияңызға сәйкес клиенттік немесе топтық контексте жіберіңіз.

Оны филиалдың өзіне жібермеңіз, өйткені бұл құрылғыда префикс қосылған желі ретінде бар.

Оны барлығына жіберу — салдары бар таңдау: сонда әрбір клиент филиалдың туннель арқылы қолжетімді екеніне сенеді, соның ішінде бұл рұқсатты ешқашан бермек болмаған клиенттер де. Хабарлама іс жүзінде рұқсат туралы шешім, директива сантехника сияқты көрінсе де. сервер параметрлерінің анықтамасы iroute-ipv6-ны клиентке тән тиесілілік ретінде сипаттайды, және дәл осы айырмашылықты сақтаған жөн.

Филиал құрылғысындағы кері жол

Тиесілілік филиал пакеттерді қайта жіберсе және оның LAN жауап беруді білсе ғана көмектеседі. Филиал құрылғысында IPv6 қайта жіберуді қосыңыз және оның LAN-ындағы хосттар VPN пулына арналған трафикті пулды білмейтін әдепкі маршрутқа емес, филиалға қарай қайтаратынын растаңыз.

Сол кері жол — адамдар IPv4-те кездесетін жоқ маршрут мәселесінің IPv6 баламасы.

Оны филиалдың өзінен емес, LAN хастынан VPN пул мекенжайын сұрау арқылы тексеріңіз. Маршрутизатордағы сұрау пайдаланушыларыңыз қоятын сұрақтан өзге сұраққа жауап береді, және екеуі қосымша команданы ақтайтындай жиі келіспейді.

Жұп әлі жеткіліксіз болса

Кейбір орналастырулар бұл жолды мүлдем қолданбайды. Ядро деректер жолы мен өнім басқаратын серверлердің өз қолдау көрсетілетін маршрут өңдеуі бар, ал userspace мысалы тікелей ауыспауы мүмкін.

Директивалары басқасына арналған нұсқаулықтан көшіруден бұрын, құрастыруыңыз қай деректер жолын қолданатынын растаңыз.

Соңында, мекенжай ауқымын есте сақтаңыз: бірегей жергілікті префикс сияқты fd00:7a::/64 дизайны бойынша жеке және жалпыға қолжетімді IPv6 туралы ештеңе айтпайды. Оны ішкі рұқсат ретінде қарастырыңыз, ал интернетке шығуды өз саясаты бар бөлек мәселе ретінде ұстаңыз.