/64 желіңізді бөлу IPv6-ны VPN клиенттеріне бағыттамайды

Клиент жаһандық IPv6 мекенжайын көрсетеді, қол алысу аяқталды, ал интернеттен ештеңе қайтпайды. Пул параметрі дұрыс көрінеді, өйткені ол шынымен дұрыс; мекенжай жарамды және туннель оны тасымалдайды. Сәтсіздікке ұшырайтыны — жеткізу, ал жеткізу VPN серверінен жоғары қабылданған шешімге тәуелді, оған клиент жағындағы ешбір конфигурация әсер ете алмайды.

Аңыз: /64 желіңіздің бір бөлігі әлдеқашан қолжетімді

Әңгіме тартымды: серверде жалпыға ортақ /64 бар, оны екіге бөліңіз, екінші жартысын VPN пулына беріңіз, сонда ол клиенттер интернетте болады. Префиксті бөлу шынымен де соқтығысуларсыз мекенжайларды бөледі. Бірақ ол upstream желісінің сол мекенжайлардың біріне арналған пакеттің қайда баруын шешу тәсілін өзгертпейді.

IPv6-ның сүйенетін әдепкі аударма қабаты жоқ, сондықтан қайтару жолы маршруттау ретінде немесе буын деңгейіндегі жеткізу ретінде болуы керек. Клиенттің туннель мекенжайына адрестелген пакет upstream маршрутизаторына жетеді, ал сол маршрутизатор өз кестесінен жіберу шешімін қабылдайды. Егер кесте физикалық буынды көрсетсе, пакет сонда кетеді, VPN серверіңіз не ойлайтынына қарамастан.

Бұл — бүкіл сәтсіздік: тура бағыт жұмыс істейді, өйткені оны серверіңіз жібереді, ал кері бағыт бір хоп қашықтықта өледі, өйткені upstream клиенттің барын ешқашан білмеді.

Буындағы жеткізу шын мәнінде нені талап етеді

Upstream бүкіл /64-ті физикалық буында деп санағанда, ол әрбір межелік мекенжайды көршілерді анықтау арқылы шешеді. Ол сол буынға сұрау жібереді және мекенжай иесінің жауап беруін күтеді. Туннельдің артында отырған VPN клиенті сол буында емес және жауап бере алмайды, сондықтан сұрау жауапсыз қалады да, пакет тасталады.

/65 бөліп алу бұл күтуді өзгертпейді. Upstream диапазонды әлі де буында деп қарастырады, өйткені оның пікірін өзгертетін жалғыз нәрсе — клиенттің атынан жауап беретін маршрут немесе прокси. Екеуі де пайда болмайды, өйткені сіз VPN конфигурациясын өңдедіңіз. Дәл осы алшақтық пулдың өз клиенттері арасында тамаша жұмыс істеп, бәрібір кез келген басқа жерден қолжетімсіз болу себебін түсіндіреді.

Прокси арқылы көршілерді анықтау — екі әлемді жалғай алатын механизм. Шлюз өзіне тиесілі нақты клиент мекенжайлары үшін сұрауларға жауап береді және трафикті туннельге жібереді. Бұл жұмыс істейді және пулды ұстанатын өмірлік циклмен дәл сол мекенжайлармен шектелуі керек, өйткені енді қызмет көрсетпейтін мекенжай үшін жауап беру басқа біреудің трафигін қара құрдымға айналдырады. Кейбір upstream-тар күтпеген прокси жауаптарын қабылдамайды, сондықтан бұл дизайнға провайдердің келісімі де қажет.

Маршрутталған жеткізу нені талап етеді

Таза дизайн — upstream шынымен сіздің шлюзіңізге бағыттайтын бөлу. Ол делегатталған префикс немесе кішірек блок үшін статикалық маршрут болуы мүмкін, ал талап екі жағдайда да бірдей: upstream кестесі клиент ауқымы үшін сіздің серверіңізді көрсетуі керек. Сонда қайтару трафигі шлюзге жетеді де, шлюз оны туннельге жібереді.

Маршрутталған жеткізу көршілерді анықтау мәселесін толығымен жояды, сондықтан ақылды нәрсе салмас бұрын оны провайдерден сұраған жөн. Маршрутты жазбаша сұраңыз және келесі хоптың upstream шынымен жете алатын мекенжай екенін растаңыз.

Екі дизайн да шлюзде IPv6 жіберуді қосулы және жіберілетін ағынға екі бағытта рұқсат беретін firewall ережелерін қажет етеді. Жеткізу — жолдың қалған бөлігі үшін алғышарт, алмастырғыш емес. Жіберу өшірілген жұмыс істейтін маршрут жоқ маршрутпен дәл бірдей үнсіздік туғызады, сондықтан бірдеңені қайта жобаламас бұрын екеуін де тексеріңіз.

Дұрыс реттеу керек екі тәуелсіз маршрут

Пул префиксі мен клиенттің өз әдепкі маршруты бөлек параметрлер, ал оларды шатастыру туннель бұзылғандай көрінетін ішінара байланыс тудырады. Пул серверге қай мекенжайларды бөлу керегін айтады. Клиенттің маршруттары клиенттің қай межеліктерге трафикті туннельге жіберетінін шешеді.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

Жоғарыдағы префикс — құжаттама кеңістігі, ал қайта бағыттау тек IPv6-ға қатысты, бұл екі стекті орналастырудың IPv6 жеткізуі әлі түзетіліп жатқанда жиі қалайтыны дәл сол. IPv4 қайта бағыттауы IPv6 қамтуын орнатпайды, және екі параметрдің ешқайсысы екіншісін білдірмейді.

IPv6 тәуелді басқару трафигін қолданатын кез келген саясат астында жұмыс істеп тұрсын. Packet Too Big хабарламалары тек TCP мен UDP-ға рұқсат беретін firewall-дың классикалық құрбаны, ал оларды тастау орнатылып, кейін үлкенірек тасымалдауларда тұрып қалатын қосылымдар тудырады.

Маршрутизатор хабарландырулары — үшінші қозғалмалы бөлік. Егер шлюз жоғарғы буында хабарландыра бастаса, бұл клиенттер мен көршілердің буындағы префикстер туралы пікірін өзгертуі мүмкін, ол жаңа ғана құжаттаған дизайнды тыныш жоя алады.

Дизайнды жазып қойыңыз, қайта құру оны қайталасын

Үш нысанды бөлек жазыңыз: клиенттің бөлінуі, клиенттің межелік маршруты және бөлу үшін upstream-тың жеткізу әдісі. Үшеуі бар оқырман орналастыруды қайта құра алады; тек пул параметрі бар оқырман бастапқы қатені қайталайды.

Содан кейін кері бағытты анық тексеріңіз, сырттан қайтуы тиіс пакетпен. openvpn(8) нұсқаулығы server-ipv6 және redirect опцияларын қамтиды, ал провайдеріңіздің маршруттау растауы нұсқаулық қамти алмайтын жартысын қамтиды.