OpenVPN кайра иштетилгенден кийин IPv6 чыгымы өлөт: префикс ээлигин текшериңиз
Туннель кайра түзүлгөндөн кийин IPv6 өлөт. Бир нерсени кайра иштетүүдөн мурун делегацияланган префикс, кардар даректери жана кайтуу маршруту кимге таандык экенин аныктаңыз.
IPv6 OpenVPN кайра иштетилген учурда трафикти өткөрүүнү токтотот, ал эми IPv4 ишин улантат. Туннель интерфейси кайра түзүлдү, жана анын IPv6 абалын башкарган башка нерсе же даректи, же префиксти жеткиликтүү кылган маршрутту жоготту. Абалдын үч өзүнчө бөлүгү катышат жана ар биринин ээси башка: провайдердин делегациялаган префикси жана анын жашоо мөөнөтү, VPN кардарларына берилген даректер, жана ошол кардар префиксин серверге кайтарган жогорку маршрут. Кайсы болбосун демонго тийүүдөн мурун ар биринин ээсин аныктаңыз, анткени туура эмести кайра иштетүү маселени бир күнгө жашырат жана кийинки туташууда кайтарат.
IPv6 абалынын үч бөлүгү, үч ээси
| State | Typical owner | What breaks when it is wrong |
|---|---|---|
| Delegated prefix and lifetime | Upstream router or provider via DHCPv6-PD | Clients keep addresses that the upstream no longer routes |
| Client addresses inside the tunnel | OpenVPN server config or a delegation daemon | No global address, or an address outside the routed prefix |
| Return route for the client prefix | Upstream router, or the server's own routing table | Outbound works, replies never arrive |
Туннелдин ичиндеги глобалдык масштабдагы дарек өзү жетишсиз. Жогорку маршрутизаторлор бул префиксти VPN серверине карай кайтарышы керек, жана серверде анын ичинен бир дарек бар экендигинен улам гана алар муну кылышпайт.
Ошондуктан коомдук /64тү туннель бассейнине көчүрүү да коркунучтуу. Серверге багытталган префикс жогорку тарап on-link деп эсептеген префикске окшош эмес, жана кошуналарды табуу бул боштукту толтурбайт.
Бир нерсени өзгөртүүдөн мурун сервердин абалын окуңуз
Абалды эки жолу жазып алыңыз: бир жолу IPv6 иштеп турганда, бир жолу кайра иштетүүдөн кийин, анан салыштырыңыз. Окуу үчүн гана көрүнүштөр жетиштүү жана тейлөө терезесинде эч нерсе турбайт:
ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwardingҮч так айырманы издеңиз: жоголгон маршрут, эскирген же жараксыз жашоо мөөнөтүнө өткөн дарек, жана кайра делегациялоодон кийин өзгөргөн, бирок VPN конфигурациясы эскисин жарыялап турган префикс.
Эгер дарек жоголсо, бирок префикс өзгөрбөсө, аны дайындаган демон интерфейсти башкарууну токтоткон. Эгер префикс өзгөрсө, бирок даректер өзгөрбөсө, кардар конфигурациясы эскирген. Эки бузулуу браузерден бирдей көрүнөт жана эч нерсеси жалпы эмес.
dhcpcd туннелди башкарышы керекпи, чечиңиз
dhcpcd интерфейстерди таба алат жана DHCPv6 префиксинин бөлүктөрүн төмөнкү интерфейстерге делегациялай алат, ал эми анын конфигурациясы делегациялоо буталарын так атай алат. Так бута болбосо, анын документтелген жүрүм-туруму башка интерфейстерди камтышы мүмкүн, жана ушундайча туннель эч ким пландаштырбаган дарекке ээ болот.
Эки шарт сизди туннелдин статикалык даректөөсүн OpenVPNге калтырууга түртүшү керек: сервер конфигурациясында туруктуу даректерди түртөт, жана кайра туташууда туннелдин аталышы өзгөрөт. Эгер экөө тең туура болсо, туннелди делегациялоо демонунен атайылап чыгарып салыңыз, себебин айткан эскертүү менен.
Эгер тескерисинче туннелге делегациялоо атайылап болсо, префикс өзгөрүүсүн иштетүүнү ишке ашырыңыз. Бул делегацияланган префикс же анын жашоо мөөнөтү өзгөргөндө реакция кылууну, сервер жарыялаган кардар префиксин жаңыртууну жана маршрутту кайра кошууну билдирет. Ошол долбоордо интерфейсти чыгарып салуу жаңы префикс жөнүндө билген жалгыз компонентти алып салат.
dhcpcdни кайра иштетүү абалды кайра түзгөндүктөн бир нерсени оңдогондой көрүнүшү мүмкүн, бирок ал сиз ойлобогон интерфейстердин конфигурациясын да жаңыртат же артка тартат. Мындай калыбына келтирүү аны ар бир VPN кайра иштетүүдөн кийин милдеттүү кылбайт. Ал ошондой эле далил катары колдонгон эсептегичтерди нөлгө түшүрөт. Сиз чындап өзгөрткөн интерфейстин максаттуу кайра жүктөлүшүн артык көрүңүз.
IPv6ны IPv4 NATтан өзүнчө текшериңиз
Кайта жиберүү күйгүзүлгөнүн жана жогорку маршрут чыныгы кардар префиксине көрсөтүп турганын ырастаңыз, анан жаңы уруксат берилген IPv6 туташуусун жасаңыз. Кардардын өзүнүн IPv6 маршрут таблицасын да текшериңиз, анткени коомдук даректи көрсөткөн кардар анын суроосу туннелди колдонгонун далилдебейт.
IPv4 маскировкасы башка маселени чечет: жеке булактар үчүн кайтуу жолун. Ал артка алынган IPv6 префикси үчүн эч нерсе кылбайт, жана аны кошуу IPv6ны кайтарбайт.
Ээлик жазуусу менен аяктаңыз: кайсы компонент префиксти делегациялайт, кайсысы кардар даректерин дайындайт, кайсысы кайтуу маршрутун кармайт, жана кайра туташууда ар бирине эмне болот. Runbookтеги төрт сап кийинки адамды үч демонду кайра иштетүүдөн куткарат, маанилүү болгонун табуу үчүн.