Soll IPv6-Trafic duerch de VPN oder direkt goen?
Entscheet, ob ::/0 an den Tunnel gehéiert, mat dräi Konditiounen: Ënnerstëtzung vum Ausgang, Erreechbarkeet vum Endpunkt a just lokal Netzwierker.
Zwee Leit hunn mir de leschte Mount géigesätzlech Resultater gefrot: deen een wollt, datt IPv6 vum VPN ofgedeckt gëtt, deen aneren wollt, datt den Bürodrucker weider funktionnéiert. Eng eenzeg Route ::/0 kann net béides eleng liwweren. Ob déi Route an den Tunnel gehéiert, hänkt vun dräi Konditiounen of, an déi éischt schléisst se fir déi meescht kommerziell Ausgäng aus. Wann den Ausgang keen IPv6 dréit, verstoppt d'Leede vun der Standardroute dohinner Ären Trafic an engem Tunnel, deen néiergescht huet, wou en en hinschéckt.
Dräi Konditiounen entscheeden d'Äntwert
D'Standardroute ass eng Linn, ::/0, an si passt op all IPv6-Zil ouni eng méi spezifesch Route (RFC 4291). Si z'installéieren ass einfach. D'Entscheedung, ob Dir et sollt maachen, kënnt op dräi Konditiounen eraus.
Konditioun éischt: den Ausgang, mat deem Dir Iech verbënnt, huet funktionéierenden IPv6 a si ass bereet, en weiderzeleeden. Konditioun zweet: Äre Client kann e Wee zum Tunnelendpunkt halen, deen normalerweis bannent dem Beräich läit, deen Dir wëllt routeieren. Konditioun drëtt: Dir kënnt déi lokal IPv6-Ziler nennen, déi baussen dem Tunnel musse bleiwen.
All Konditioun fällt op hir Manéier aus, dofir kascht d'Rätsen en ganzen Owend. Eng ausgefall Konditioun éischt gëtt Iech Stille an eng Routentabelle, déi richteg ausgesäit. Eng ausgefall Konditioun zweet brécht den Handshake e puer Sekonnen no dem Start of. Eng ausgefall Konditioun drëtt léisst en funktionéierenden Tunnel an engem onzefriddene Kolleg beim Ducker.
| What you see | Decision |
|---|---|
| Exit answers IPv6 probes, no local IPv6 devices to protect | Route ::/0 into the tunnel |
| Exit answers IPv6 probes, printer or NAS reachable by a global address | Route ::/0, then give those prefixes a route of their own |
| Exit is IPv4-only inside the tunnel | Do not route ::/0; block IPv6 on the client |
Endpoint is reached over IPv6 and sits inside ::/0 | Install a host route for the endpoint first |
Dréit den Ausgang tatsächlech IPv6?
Eng Tunnelinterfacë mat enger IPv6-Adress beweist näischt iwwer déi aner Säit. Vill kommerziell Profiler sinn bannen nëmmen IPv4: de Server gëtt Iech eng v4-Adress an deklasséiert alles anescht. Installéiert drop eng Standardroute aus AllowedIPs an de Kernel schéckt gär IPv6 an eng Interfacë, deenen hire Partner et ni gesäit.
Test vum Client aus, während den Tunnel dobaussen ass. ping -6 -c 3 2001:4860:4860::8888 an ip -6 route get 2001:4860:4860::8888 beäntwerten ënnerschiddlech Froen: ob eng Äntwert zréckkënnt, an a wéi en Apparat de Kernel gewielt huet. Wann déi zweet Ären Tunnel nennt an déi éischt näischt zréckgëtt, ass den Ausgang de Problem, net d'Route.
Wann Dir den Ausgang selwer bedreift, kann den Clienttest duerchgoen an de Wee trotzdem am Sakgaass ophalen. Bestätegt net.ipv6.conf.all.forwarding=1 op der Gateway an datt hir Firewall Paketen ugeholl huet, déi aus dem Tunnel weidergereet ginn. E korrekt geroutene Paket an en Ausgang, deen d'Weidergi vun der Weiderleet verweigert, gesäit vun der Clientsäit genau wéi e Routingfehler aus.
Kann de Client säi Wee zum Endpunkt halen?
Dëst ass de Fall, deen mech op engem Laptop mat engem nëmmen-IPv6 WireGuard-Endpunkt gepët huet. D'Endpunktadress ass eng gewéinlech global Adress, also fällt se an ::/0. Routeiert de ganze Prefix an d'Interfacë an d'Handshake-Pakete joen sech selwer an den Tunnel, dee se nach probéieren ze bauen. Den Tunnel kënnt ni erop, an näischt an der Clientausgab seet firwat.
wg-quick këmmert sech ëm dëst op Linux. Et leet Routen aus AllowedIPs of, installéiert se an sengem eegenen Dësch a füügt eng Politiksregel derbäi, sou datt den Trafic zum Endpunkt fir d'éischt iwwer den Haaptdësch opgeléist gëtt: d'Regel suppress_prefixlength 0, déi Dir an ip -6 rule fannt. Dofir geléngt wg-quick up do, wou eng handgeschriwwen ip -6 route add default dev wg0 Iech ofschneit.
Kontrolléiert béid Zustänn mat ip -6 route get <endpoint-v6>, virun an no dem Opbau vum Tunnel. Wann d'Äntwert op Ären Tunnelsapparat wiesselt, hutt Dir de Wee ewechgeholl, deen den Tunnel brauch. Wann Dir d'Routen selwer schreift, füügt eng Hostroute zum Endpunkt iwwer déi ursprénglech Gateway derbäi, oder verbënnt Iech iwwer IPv4 mam Endpunkt a loosst IPv6 un d'Payload.
Wat muss baussen dem Tunnel bleiwen?
Méi spezifesch Route gewannen iwwer d'Standardroute, dofir fuerscht e Prefix um Link oder e ULA-Beräich mat enger eegener Route ouni zousätzlech Effort weider. Dëst ass de rouegen Grond, firwat sou vill Komplett-Tunnel-IPv4-Astellunge bestoe bleiwen: d'LAN-Prefixe si spezifescher wéi d'Standardroute a geroden ni an den Tunnel.
Et brécht, wann en lokalen Apparat iwwer eng global Adress erreechbar ass, wat normal ass fir en Ducker, deem de selwechte Router e firëffentleche Prefix ginn huet, eng NAS oder en Televisioun. Déi Adresse passen op ::/0 a soss näischt, dofir plënneren se mat allem anescht an den Tunnel a verschwannen.
Entscheet pro Zil, net pro Protokoll. Wann zwou oder dräi lokal Hoste wichteg sinn, gitt hire Prefixen eng Route iwwer déi physikalesch Interfacë eraus, oder hëlt se aus dem verhandelte Set. Wann d'Lëscht weider wiisst, ass déi éierlech Äntwert Split-Tunneling fir IPv6 mat enger schrëftlecher AusnameLëscht, net eng Standardroute, déi Dir permanent fléckt.
Wann d'Äntwert nee ass, blockéiert et
IPv6 ouni Route loossen ass net d'selwecht wéi et a Rou loossen. En Host mat enger funktionéierender IPv6-Standardroute benotzt se weider, während den Tunnel IPv4 dréit, dofir geet den Trafic nieft dem VPN eraus an all Service, deen IPv6 wéi sécher, gesäit Är richteg Adress. Dat ass eng Leck, keen Split-Tunnel.
Wielt eng aus a schreift op, wéi eng Dir gewielt hutt. Routeiert d'Standard an akzeptéiert d'Kompromisser uewen, oder deaktivéiert IPv6 fir d'Dauer vum Tunnel. De Prefix aus AllowedIPs ewechloossen ass eleng net genuch, well d'Betribssystem seng eegen Standardroute behält. Op Linux ass déi gro Versioun sysctl -w net.ipv6.conf.all.disable_ipv6=1; déi méi fein léisst IPv6 mat enger Firewallregel baussen dem Tunnel falen. Telefonscliente kommen mat engem explizite Block-IPv6-Schalter, deen déiselwecht Aarbecht mécht.
Verifizéiert et wéi eng Leck
Huevt den Tunnel op a liest den Zoustand, amplaz dem Schalter ze vertrauen. ip -6 route show default sollt eng Standard weisen, an ip -6 route get fir en Zil baussen Ärer LAN sollt den Tunnelsapparat nennen. Widderhëlt béides no enger Trennung: eng Standardroute, déi den Tunnel iwwerlieft, ass de Fehler, deen Dir gesicht hutt.
Test dann déi aner Richtung. Vun engem Host am lokalen Netz, erreecht de Client op senger lokaler IPv6-Adress. Wann dat ophält ze funktionéieren, war d'drëtt Konditioun ni erfëllt, wat den Routendësch deemools och behaapt huet.
Schreift d'Resultat dohin, wou déi nächst Persoun et fënnt: wéi eng Prefixe lokal bleiwen, firwat an wat de Client no enger Trennung mécht. Zwou Linnen an engem Runbook spueren dem nächsten Ingenieur, de Endpunkt-Loop um Mëtternuecht erëm z'entdecken.