IPv6-Zweigprefix: iroute-ipv6 oder route-ipv6 um Server?

Zwee Direktiven mat bal demselwe Numm erschéngen an all funktionéierende Beispill, a wann een dat eng ouni dat anert kopéiert, entsteet en Tunnel, deen richteg ausgesäit an de Zweigprefix stëlldrops verléiert. Si maachen ënnerschiddlech Aarbecht op verschiddene Säite vun der selwechter Grenz: déi eng léiert dem Server säi Kernel, wou e Prefix läit, an déi aner léiert OpenVPN wéi en authentifizéierte Client en dréit. Sinn béid richteg, fléisst de Prefix; ass eng richteg, hunn d'Paketen eng Route, awer keen Eegentemer.

Zwee Direktiven, zwou verschidden Aufgaben

route-ipv6 ass eng gewéinlech Routeninstallatioun: de Server setzt eng Kernelroute derbäi, déi de Prefix op seng Tunnelschnittstell weist. iroute-ipv6 gehéiert zu engem clientspezifesche Kontext an erkläert intern Eegentum, sou datt den Daemon weess, datt Verkéier fir dee Prefix un e bestëmmte Client geschéckt soll ginn an net un de Peer, deen eng Kernelroute just ernimmt.

Déi eng geet ëm d'Weiderleitungstabell vum Kernel, déi aner ëm dem Daemon säi internen Routingmodell. Wann een se getrennt hält, erkläert dat, firwat eng Konfiguratioun, déi komplett ausgesäit, de Prefix nach ëmmer verléiere kann. Et erkläert och, firwat dat selwecht Netzwierk an all funktionéierende Beispill zweemol optrëtt. Keng vun deenen zwou Zeile sinn iwwerflësseg.

An der traditioneller Userspace-Arichtung sinn béid noutwendeg a si ergänze sech. Eng Kernelroute eleng léisst den Daemon keen Peer auswielen. En iroute eleng léisst de Kernel ouni Wee zum Tunnel. Doher kënnt och de meeschte Verwirrung ëm Dateie pro Client: d'Datei ass keen Routentabellenagank, an de Routenagank ass keng Eegentumserklärung.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Wou wat gehéiert

D'Route geet an déi verwalt Konfiguratioun vum Server, wou se fir dee Serverprozess gëllt. Den iroute geet an d'clientspezifesch Datei, déi no der authentifizéierter Identitéit vum Zweiggerät benannt ass.

En Dateinumm, deen net mat der effektiver Identitéit iwwerenee stëmmt, gëtt ni gelies, an d'Symptom ass identesch mat engem fehlenden iroute. Kontrolléier d'Identitéit, déi de Server authentifizéiert huet, a kontrolléier duerno den Dateinumm Zeechen fir Zeechen.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Halt de Pool an de Zweigprefix getrennt, well eng Iwwerlappung e Rätsel schafft, dat keng Direktiv léise kann.

Wat en anere Client brauch

En zweeten Client, deen dee Zweig solle kënnen erreechen, brauch eng Annonce, keen Eegentum. Schéck de Prefix un d'Clienten, déi s de mengs, am Client- oder Gruppekontext, dee bei deng Konfiguratioun passt.

Schéck en net un den Zweig selwer, well dat Gerät huet de Prefix schonn als ugeschlossene Netzwierk.

En un all ze schécken ass eng Wiel mat Konsequenzen: all Client gleeft dann, den Zweig wier iwwer den Tunnel erreechbar, och Clienten, deenen s dee Zougang ni wollt ginn. Eng Annonce ass an der Praxis eng Zougangsentscheedung, och wann d'Direktiv no Installatiounsaarbecht ausgesäit. D'Referenz fir Serveroptiounen dokumentéiert iroute-ipv6 als clientspezifescht Eegentum, an dat ass den Ënnerscheed, deen et wäert ass ze behalen.

Den Zréckwee op dem Zweiggerät

Eegentum hëlleft nëmmen, wann den Zweig d'Paketen weiderleet a säi LAN weess, wéi et soll äntweren. Aktivéier d'IPv6-Weiderleitung op dem Zweiggerät, a bestäteg, datt Hosts a sengem LAN Verkéier fir de VPN-Pool zréck richtung Zweig schécken an net richtung eng Standardroute, déi de Pool net kennt.

Dee Zréckwee ass den IPv6-Equivalent zum Problem vun der fehlender Route, dat d'Leit mat IPv4 treffen.

Kontrolléier en vun engem LAN-Host mat enger Ufroe fir d'Adress vum VPN-Pool, net vum Zweig selwer. Eng Ufroe um Router beäntwert eng aner Fro wéi déi vun däin Benotzer, an déi zwou stëmmen dacks genuch net iwwerenee fir dee zousätzleche Kommando wäert ze sinn.

Wann d'Paar nach ëmmer net duerch

E puer Installatiounen huet dëse Wee guer net. De Kernel-Datapad a produktverwalt Servere hunn hir eegen ënnerstëtzte Routebehandlung, an e Userspace-Beispill iwwersetzt sech vläicht net direkt.

Bestäteg, wéi en Datapad däin Build benotzt, ier du Direktiven aus enger Uleitung iwwerhëls, déi fir deen anere geschriwwe gouf.

Denk zum Schluss un den Adressberäich: en eenzegaartege lokale Prefix wéi fd00:7a::/64 ass vum Design hier privat a seet näischt iwwer ëffentlech IPv6-Erreechbarkeet. Behënnelt en als internen Zougang, an hal Internetausgang eng getrennt Fro mat senger eegener Politik.