OpenVPN қайта іске қосылғаннан кейін IPv6 шығысы өледі: префикс иелігін тексеріңіз
Туннель қайта жасалғаннан кейін IPv6 өледі. Бірдеңені қайта іске қоспас бұрын делегатталған префикстің, клиент мекенжайларының және қайтару маршрутының кімге тиесілі екенін анықтаңыз.
IPv6 OpenVPN қайта іске қосылған сәтте трафикті өткізуді тоқтатады, ал IPv4 жұмысын жалғастырады. Туннель интерфейсі қайта жасалды, және оның IPv6 күйін басқарған басқа нәрсе не мекенжайды, не префиксті қолжетімді ететін маршрутты жоғалтты. Күйдің үш бөлек бөлігі қатысады және әрқайсысының иесі басқа: провайдердің делегаттаған префиксі мен оның өмірлік мерзімі, VPN клиенттеріне берілген мекенжайлар, және сол клиент префиксін серверге қайтаратын жоғарғы маршрут. Кез келген демонға қол тигізбес бұрын әрқайсысының иесін анықтаңыз, өйткені қатесін қайта іске қосу мәселені бір күнге жасырады және келесі қосылымда қайтарады.
IPv6 күйінің үш бөлігі, үш иесі
| State | Typical owner | What breaks when it is wrong |
|---|---|---|
| Delegated prefix and lifetime | Upstream router or provider via DHCPv6-PD | Clients keep addresses that the upstream no longer routes |
| Client addresses inside the tunnel | OpenVPN server config or a delegation daemon | No global address, or an address outside the routed prefix |
| Return route for the client prefix | Upstream router, or the server's own routing table | Outbound works, replies never arrive |
Туннель ішіндегі жаһандық ауқымдағы мекенжай өздігінен жеткіліксіз. Жоғарғы маршрутизаторлар бұл префиксті VPN серверіне қарай қайтаруға міндетті, және серверде одан бір мекенжай бар болғандықтан ғана олар мұны істемейді.
Сондықтан жалпыға ортақ /64-ті туннель пулына көшіру де қауіпті. Серверге бағытталған префикс жоғарғы жақ on-link деп қарайтын префикспен бірдей емес, және көршілерді табу бұл олқылықты жаппайды.
Бірдеңені өзгертпес бұрын сервер күйін оқыңыз
Күйді екі рет түсіріңіз: бір рет IPv6 жұмыс істеп тұрғанда, бір рет қайта іске қосқаннан кейін, содан кейін салыстырыңыз. Тек оқуға арналған көріністер жеткілікті және техникалық қызмет көрсету терезесінде ештеңеге тұрмайды:
ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwardingҮш нақты айырмашылықты іздеңіз: жоғалған маршрут, ескірген немесе жарамсыз өмірлік мерзімге көшкен мекенжай, және қайта делегаттаудан кейін өзгерген, бірақ VPN конфигурациясы әлі де ескісін жариялап отырған префикс.
Егер мекенжай жоғалса, бірақ префикс өзгермесе, оны тағайындайтын демон интерфейсті басқаруды тоқтатты. Егер префикс өзгерсе, бірақ мекенжайлар өзгермесе, клиент конфигурациясы ескірген. Екі ақау браузерден бірдей көрінеді және ортақ ештеңесі жоқ.
dhcpcd туннельді басқаруы керек пе, шешіңіз
dhcpcd интерфейстерді таба алады және DHCPv6 префиксінің бөліктерін төменгі интерфейстерге делегаттай алады, ал оның конфигурациясы делегаттау нысандарын анық атай алады. Анық нысан болмаса, оның құжатталған әрекеті басқа интерфейстерді қамтуы мүмкін, және осылайша туннель ешкім жоспарламаған мекенжайға ие болады.
Екі шарт сізді туннельдің статикалық адрестеуін OpenVPN-ге қалдыруға итермелеуі керек: сервер конфигурациясында тұрақты мекенжайларды итереді, және қайта қосылу кезінде туннель атауы өзгереді. Егер екеуі де дұрыс болса, туннельді делегаттау демонынан әдейі шығарып тастаңыз, себебін айтатын түсініктемемен.
Егер керісінше туннельге делегаттау әдейі болса, префикс өзгерісін өңдеуді іске асырыңыз. Бұл делегатталған префикс немесе оның өмірлік мерзімі өзгергенде әрекет етуді, сервер жариялаған клиент префиксін жаңартуды және маршрутты қайта қосуды білдіреді. Сол дизайнда интерфейсті шығарып тастау жаңа префиксті білетін жалғыз компонентті жояды.
dhcpcd-ні қайта іске қосу күйді қайта жасағандықтан бірдеңені түзеткендей көрінуі мүмкін, бірақ ол сіз ойламаған интерфейстердің конфигурациясын да жаңартады немесе қайтарып алады. Мұндай қалпына келтіру оны әр VPN қайта іске қосылған сайын міндетті етпейді. Ол сондай-ақ дәлел ретінде пайдаланған есептегіштерді нөлге түсіреді. Нақты өзгерткен интерфейсті мақсатты түрде қайта жүктеуді таңдаңыз.
IPv6-ны IPv4 NAT-тан бөлек тексеріңіз
Қайта жіберудің қосылғанын және жоғарғы маршруттың нақты клиент префиксіне көрсетіп тұрғанын растаңыз, содан кейін жаңа рұқсат етілген IPv6 қосылымын жасаңыз. Клиенттің өзінің IPv6 маршруттар кестесін де тексеріңіз, өйткені ашық мекенжайды көрсететін клиент оның сұранысы туннельді пайдаланғанын дәлелдемейді.
IPv4 маскировкасы басқа мәселені шешеді: жеке көздер үшін қайтару жолын. Ол кері қайтарылған IPv6 префиксі үшін ештеңе істемейді, және оны қосу IPv6-ны қайтармайды.
Иелік жазбасымен аяқтаңыз: қай компонент префиксті делегаттайды, қайсысы клиент мекенжайларын тағайындайды, қайсысы қайтару маршрутын ұстайды, және қайта қосылу кезінде әрқайсысына не болады. Runbook-тағы төрт жол келесі адамды үш демонды қайта іске қосудан құтқарады, маңызды болғанын табу үшін.