Privat IPv6 an eng OpenVPN-Labor bäifügen, ee Kontrollpunkt op eemol

Loosst den äusseren Transport op IPv4 a erweidert den inneren Plang. Fënnef Kontrollpunkten: Prefixen, Hëllefer, Routestouss, Weiderleitung an en Test vum Client aus.

Dir hutt scho en Client, deen iwwer IPv4 verbënnt an eng privat IPv4-Arbeschlaascht hannert dem Server erreecht. D'Zil ass, eng privat IPv6-Arbeschlaascht duerch de selwechten Tunnel z'erreechen, ouni den äusseren Transport unzepaken. Dës Reihenfolleg zielt: de baussenzege Wee bleift IPv4, an et änneren sech nëmmen den inneren Adressplang, d'Route vum Client an de Wee zréck vum Server an d'LAN. Fënnef Kontrollpunkten, jiddweree mat eppes Konkreten ze kucken, ier Dir weidergitt.

Éischte Kontrollpunkt: d'Verbindung déi schonn funktionnéiert

Verbindt de Client a bestätegt den IPv4-Wee, ier Dir eppes bäifüügt. En Tunnel dee funktionnéiert gëtt Iech eng Basislinn, déi en neien IPv6-Fehler vun engem ale Verbindungsproblem trennt. Hie seet Iech och, wéi eng Serverinstanz Dir tatsächlech änneren.

Notéiert de Pool, d'Topologie an déi gestouss Routen, op déi Dir Iech schonn verloosst. D'IPv6-Aarbecht erweitert déi Konfiguratioun; si ersetzt se net.

Zweeten Kontrollpunkt: wielt déi inner Prefixen

Wielt eng ULA /48 fir de Site a schneit zwee /64 eraus: eng fir Tunnelclienten, eng fir de LAN-Segment mat der IPv6-Arbeschlaascht. Generéiert d'40-Bit global ID amplaz e Beispillprefix ze kopéieren, an iwwerpréift béid Subnetzer géint all Netz, dat de Site schonn routeet:

Outer transport: IPv4 OpenVPN UDP
IPv4 pool:       10.90.0.0/24
IPv6 VPN pool:   fd73:93bc:b6e9:77::/64
IPv6 LAN:        fd73:93bc:b6e9:60::/64
Server LAN IPv6: fd73:93bc:b6e9:60::1

Zwee onofhängeg /64 verhënneren, datt de Clientpool aus dem LAN-Segment erausgeschnidden gëtt, wat spéider zielt wann Dir de Réckwee schreift. D'Wäerter uewen sinn ee duerchgerechent Beispill, keen Prefix fir weiderzebruchen.

Drëtten Kontrollpunkt: füügt den Hëllefer an de Routestouss bäi

Liest déi aktuell Serverkonfiguratioun, ier Dir eppes ufüügt. Eng zweet Kopie vun enger existéierender Direktiv verschmëlzt net mat der éischter, an de Fehler deen entsteet nennt d'Direktiv, net IPv6. Mam existéierende IPv4-Hëllefer erweideren zwou Zeilen en. Jiddwereng äntwert op eng aner Fro:

server-ipv6 fd73:93bc:b6e9:77::/64
push "route-ipv6 fd73:93bc:b6e9:60::/64"

Déi éischt ass en bequemen Hëllefer, deen d'Interface an de Clientpool agestallt. Déi zweet nennt d'LAN-Zil, dat de Client soll erreechen. Engem Client eng IPv6-Adress ze ginn seet him net, wéi eng Netzer hannert dem Server sinn, dofir sinn déi zwou Zeilen noutwendeg.

Den Hëllefer existéiert net mat engem statesche IPv6-Pool oder mat nopool. Wann d'Deployment bewosst Adressen statesch verdeelt, behält déi Politik a entwéckelt d'IPv6-Äquivalent ausdrécklech, amplaz d'Politik ze läschen, fir zu engem Beispill ze passen.

Véierte Kontrollpunkt: Weiderleitung an de Réckwee

Schalt d'IPv6-Weiderleitung um Server iwwer de System seng eege Konfiguratiounsbesëtzer an, net mat enger eemoleger Laufzäitschreifung, déi Dir vergiess. D'Laufzäitform ass fir e schnellen Test nëtzlech. Dauerhaft Konfiguratioun gehéiert an eng drop-in-Datei, déi den Netzwierkbesëtzer vun der Distributioun liest:

sysctl -w net.ipv6.conf.all.forwarding=1

Weiderleitung ännert d'IPv6-Verhalen vum Host iwwer d'Routéiere vu Pakete eraus. En Host deen Routerannoncen als Client akzeptéiert huet, hält domat op déi selwecht Manéier op, soubal en weiderleet. Eng Maschinn, deenen hiren IPv6-Uplink vun RA ofhänkt, brauch dofir e klore Plang fir deen Uplink.

Gitt dann der LAN eng Route zréck an den Tunnelpool. D'IPv6-Gateway vun der Arbeschlaascht ass de LAN-Router, net de VPN-Server, dofir gehéiert d'Route op deen Router a weist op d'LAN-Adress vum Server:

ip -6 route add fd73:93bc:b6e9:77::/64 via fd73:93bc:b6e9:60::1

Behält d'ICMPv6-Typen, déi de Link brauch, inklusiv de Path-MTU-Feedback. Eng IPv4-Firewallregel bedeit keng IPv6-Regel, an eng komplett IPv6-Blockade brécht d'Nopeschdetektioun op eng Manéier, déi wéi e Routéierfehler ausgesäit.

Fënneften Kontrollpunkt: liest de Client, da test

Verbindt de Client erëm a liest d'Adressen déi en tatsächlech kritt huet, amplaz se aus der Hëlleferadress vum Server ofzeleeden. D'Interface-Lëscht weist béid Famillen um selwechten Apparat:

ip -6 addr show tun0
ip -6 route get fd73:93bc:b6e9:60::20

Eng Route déi den Tunnel wielt beweist, datt de Client weess wou de Paket soll hin. Si beweist net, datt de Server en weiderleet, datt de LAN-Router de Réckwee huet, oder datt d'Applikatioun däerf äntweren.

Test d'Applikatioun selwer iwwer all Famill noeneen, a widderhëlt et no enger neier Verbindung an no engem Host-Neistart. Eng Route oder e sysctl deen nëmmen bis zum Neistart hält, ass en Test, keen Entworf.

Veröffentlicht en AAAA-Record nëmmen wann den IPv6-Wee vun Enn zu Enn äntwert. DNS deen iwwer IPv4 gefrot gëtt kann nach ëmmer eng IPv6-Adress zréckginn, dofir ass en Numm deen sech opléist kee Beweis datt eppes lauschtert. D'RFC 4193 ULA-Leedung deckt d'Generéiere vun der global ID, déi dës Prefixen zu Ären mécht an net zu enger Kopie.

Ähnlech Artikelen