/64 бөлүштүрүү IPv6-ны VPN кардарларына багыттабайт

Кардар глобалдык IPv6 дарегин көрсөтөт, кол алышуу бүттү, ал эми интернеттен эч нерсе кайтпайт. Пул жөндөөсү туура көрүнөт, анткени ал чындыгында туура; дарек жарактуу жана туннель аны ташыйт. Ийгиликсиз болгону — жеткирүү, ал эми жеткирүү VPN серверинен жогору кабыл алынган чечимге көз каранды, ага кардар тараптагы эч бир конфигурация таасир эте албайт.

Уламыш: /64 сиздин бир бөлүгү мурунтан эле жеткиликтүү

Окуя жагымдуу: серверде коомдук /64 бар, аны экиге бөлүңүз, экинчи жарымын VPN пулуна бериңиз, ошондо ал кардарлар интернетте болот. Префиксти бөлүштүрүү чындыгында кагылышуусуз даректерди бөлүп берет. Бирок ал upstream тармагынын ошол даректердин бирине арналган пакеттин кайда барышын чечүү ыкмасын өзгөртпөйт.

IPv6-нын таяна турган демейки котормо катмары жок, ошондуктан кайтуу жолу маршруттоо катары же байланыш деңгээлиндеги жеткирүү катары болушу керек. Кардардын туннель дарегине адрестелген пакет upstream маршрутизаторуна жетет, ал эми ошол маршрутизатор өз таблицасынан жөнөтүү чечимин кабыл алат. Эгер таблица физикалык байланышты көрсөтсө, пакет ошол жакка кетет, VPN сервериңиз эмнени ойлогонуна карабастан.

Бул — бүткүл ийгиликсиздик: түз багыт иштейт, анткени аны сервериңиз жөнөтөт, ал эми кайтуу багыт бир хоп аралыкта өлөт, анткени upstream кардардын бар экенин эч качан билген эмес.

Байланыштагы жеткирүү чындыгында эмнени талап кылат

Upstream бүт /64-тү физикалык байланышта деп эсептегенде, ал ар бир багыт дарегин кошуналарды аныктоо аркылуу чечет. Ал ошол байланышка сурам жөнөтөт жана даректин ээси жооп берет деп күтөт. Туннелдин артында отурган VPN кардары ошол байланышта эмес жана жооп бере албайт, ошондуктан сурам жоопсуз калат жана пакет ыргытылат.

/65 бөлүп алуу бул күтүүнү өзгөртпөйт. Upstream диапазонду дагы эле байланышта деп эсептейт, анткени анын пикирин өзгөртө турган жалгыз нерсе — кардардын атынан жооп берүүчү маршрут же прокси. Экөө тең пайда болбойт, анткени сиз VPN конфигурациясын өзгөрттүңүз. Так ушул ажырык пулдун өз кардарларынын ортосунда эң сонун иштеп, баары бир башка жерден жеткиликсиз болушунун себебин түшүндүрөт.

Прокси аркылуу кошуналарды аныктоо — эки дүйнөнү туташтыра алган механизм. Шлюз өзүнө таандык конкреттүү кардар даректери үчүн сурамдарга жооп берет жана трафикти туннелге жөнөтөт. Бул иштейт жана пулду ээрчиген жашоо циклинде так ошол даректер менен чектелиши керек, анткени эми тейлебеген дарек үчүн жооп берүү башка бирөөнүн трафигин кара көңдөйгө айландырат. Кээ бир upstream-тар күтүлбөгөн прокси жоопторун кабыл алышпайт, ошондуктан бул дизайнга провайдердин макулдугу да керек.

Маршрутталган жеткирүү эмнени талап кылат

Таза дизайн — upstream чындыгында сиздин шлюзүңүзгө багыттай турган бөлүштүрүү. Ал делегацияланган префикс же кичирээк блок үчүн статикалык маршрут болушу мүмкүн, ал эми талап эки учурда тең бирдей: upstream таблицасы кардар диапазону үчүн сиздин сервериңизди көрсөтүшү керек. Андан кийин кайтуу трафиги шлюзге жетет жана шлюз аны туннелге жөнөтөт.

Маршрутталган жеткирүү кошуналарды аныктоо маселесин толугу менен жок кылат, ошондуктан акылдуу нерсе куруудан мурун аны провайдерден суроо татыктуу. Маршрутту жазуу түрүндө сураңыз жана кийинки хоптун upstream чындыгында жете алган дарек экенин ырастаңыз.

Эки дизайн тең шлюзде IPv6 жөнөтүүнүн күйгүзүлүшүн жана жөнөтүлгөн агымга эки багытта уруксат берген firewall эрежелерин талап кылат. Жеткирүү — жолдун калган бөлүгү үчүн шарт, алмаштыргыч эмес. Жөнөтүү өчүрүлгөн иштеген маршрут жок маршрут менен так бирдей үнсүздүк жаратат, ошондуктан бир нерсени кайра долбоорлоодон мурун экөөнү тең текшериңиз.

Туура жөндөө керек болгон эки көз карандысыз маршрут

Пул префикси жана кардардын өз демейки маршруту өзүнчө жөндөөлөр, аларды аралаштыруу туннель бузулгандай көрүнгөн жарым-жартылай туташууну жаратат. Пул серверге кайсы даректерди бөлүштүрүү керектигин айтат. Кардардын маршруттары кардар кайсы багыттарга трафикти туннелге жөнөтөрүн чечет.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

Жогорудагы префикс — документтация мейкиндиги, ал эми кайра багыттоо IPv6-га гана тиешелүү, бул эки стектүү жайгаштыруунун IPv6 жеткирүүсү дагы оңдолуп жатканда көп учурда каалай турган нерсе. IPv4 кайра багыттоосу IPv6 камтуусун орнотпойт жана эки жөндөөнүн экөө тең экинчисин билдирбейт.

IPv6 көз каранды болгон башкаруу трафигин колдонгон каалаган саясаттын астында иштеп турсун. Packet Too Big билдирүүлөрү TCP жана UDP гана уруксат берген firewall-дын классикалык курманы, аларды ыргытуу орнотулуп, кийин чоңураак өткөрүүлөрдө токтоп калган туташууларды жаратат.

Маршрутизатор жарыялоолору — үчүнчү кыймылдуу бөлүк. Эгер шлюз жогорку байланышта жарыялай баштаса, бул кардарлар менен кошуналардын байланыштагы префикстер жөнүндө ойлогонун өзгөртүшү мүмкүн, ал жаңы эле документтештирилген дизайнды тынч жок кылышы мүмкүн.

Кайра куруу аны кайталашы үчүн дизайнды жазып коюңуз

Үч объектини өзүнчө жазыңыз: кардардын бөлүштүрүлүшү, кардардын багыт маршруту жана бөлүштүрүү үчүн upstream-тын жеткирүү ыкмасы. Үчөөнү тең билген окуучу жайгаштырууну кайра кура алат; пул жөндөөсү гана бар окуучу баштапкы катаны кайталайт.

Андан кийин кайтуу багытын ачык текшериңиз, сырттан кайтышы керек болгон пакет менен. openvpn(8) колдонмосу server-ipv6 жана redirect опцияларын камтыйт, ал эми провайдериңиздин маршруттоо ырастоосу колдонмо камтый албаган жарымын камтыйт.