D'/64 ze splécken leet IPv6 net op VPN-Clienten ëm

De Client weist eng global IPv6-Adress, de Handshake ass fäerdeg, an et kënnt näischt aus dem Internet zeréck. D'Pool-Astellung gesäit korrekt aus, well se korrekt ass; d'Adress ass gülteg an den Tunnel dréit se. Wat feelt, ass d'Liwwerung, an d'Liwwerung hänkt vun enger Entscheedung of, déi iwwer dem VPN-Server geholl gëtt a vun där keng Konfiguratioun op Client-Säit beaflosst ka ginn.

De Mythos: en Deel vun Ärem /64 ass schonn erreechbar

D'Geschicht ass attraktiv: de Server huet en ëffentlecht /64, schneid et an d'Halschent, gëff déi aner Halschent dem VPN-Pool, an déi Clienten sinn elo um Internet. D'Präfix splécken deelt tatsächlech Adressen ouni Kollisiounen. Et ännert awer net, wéi den Upstream-Netzwierk entscheet, wouhi e Pak fir eng vun dësen Adressen gehéiert.

IPv6 huet keng Standard-Iwwersetzungsschicht, op déi et zeréckgräife kann, dofir muss de Réckwee als Routing oder als Liwwerung op Link-Niveau existéieren. E Pak, deen un d'Tunneladress vun engem Client adresséiert ass, kënnt beim Upstream-Router un, an dee Router hëlt eng Weiderleeungs-Entscheedung aus senger eegener Tabell. Wann d'Tabell op de physesche Link weist, geet d'Pak dohi, egal wat Äre VPN-Server mengt.

Dat ass de ganze Feeler: d'Virwärtsrichtung funktionéiert, well Äre Server se schéckt, an d'Réckrichtung stierft een Hop wäit ewech, well den Upstream ni geléiert huet, datt de Client existéiert.

Wat d'Liwwerung um Link wierklech erfuerdert

Wann den Upstream dat ganzt /64 als um physesche Link ugesäit, léist hien all Destinatiounsadress duerch Nopesch-Entdeckung. Hie schéckt eng Ufro op dee Link a waart drop, datt den Eegentemer vun der Adress äntwert. E VPN-Client hannert engem Tunnel ass net op deem Link a kann net äntweren, dofir bleift d'Ufro onbeäntwert an d'Pak gëtt verworf.

En /65 erauszeschneiden ännert déi Erwaardung net. Den Upstream behandelt de Beräich nach ëmmer als um Link, well dat eenzegt, wat seng Meenung ännere géif, eng Route oder e Proxy ass, deen am Numm vum Client äntwert. Keng vun deenen erschéngt, well Dir eng VPN-Konfiguratioun beaarbecht hutt. Genau dës Lück erkläert, firwat e Pool perfekt tëscht sengen eegenen Clienten funktionéiere kann an trotzdem vun iwwerall soss onerreechbar ass.

Proxy-Nopesch-Entdeckung ass de Mechanismus, deen déi zwou Wëlten iwwerbrécke kann. D'Gateway äntwert op Ufroe fir déi spezifesch Clientadressen, déi et besëtzt, a leet den Traffic an den Tunnel. Et funktionéiert, an et muss genee op déi Adressen agegrenzt ginn, mat engem Liewenszyklus, deen dem Pool follegt, well fir eng Adress ze äntweren, déi Dir net méi bedéngt, mécht den Traffic vun engem aneren zu engem schwaarze Lach. Een Upstream wäert Proxy-Äntwerten net akzeptéieren, déi en net erwaart huet, dofir brauch dësen Design och d'Zoustëmmung vum Provider.

Wat d'geroutet Liwwerung erfuerdert

Den méi propere Design ass eng Zuwäisung, déi den Upstream wierklech op Är Gateway leet. Dat kann e delegéierte Präfix oder eng statesch Route fir e méi klengen Block sinn, an d'Ufuerderung ass an deenen zwou Fäll déiselwecht: d'Tabell vum Upstream muss fir de Clientberäich op Äre Server weisen. Dann erreecht den Récktraffic d'Gateway an d'Gateway leet en an den Tunnel.

Geroutet Liwwerung eliminéiert d'Fro vun der Nopesch-Entdeckung komplett, an dofir lount et sech, de Provider dofir ze froen, ier een eppes Schlaues baut. Frot d'Route schrëftlech un, a bestätegt, datt den nächsten Hop déi Adress ass, déi den Upstream wierklech erreeche kann.

Béid Designer brauchen nach ëmmer aktivéiert IPv6-Weiderleeung op der Gateway a Firewall-Reegelen, déi de weidergeleet Flux a béid Richtunge erlaben. Liwwerung ass eng Viraussetzung, keen Ersatz, fir de Rescht vum Wee. Eng funktionéierend Route mat desaktivéierter Weiderleeung bréngt genee déiselwecht Stëllt wéi eng feelend Route, dofir kontrolléiert béides, ier Dir eppes nei designt.

Zwee onofhängeg Rouden, déi richteg musse sinn

De Poolpräfix an déi eege Standardroute vum Client sinn getrennt Astellungen, an hir Verwiesselung bréngt deelweis Konnektivitéit, déi wéi en gebrochenen Tunnel ausgesäit. De Pool seet dem Server, wéi eng Adressen ausgedeelt solle ginn. D'Roude vum Client entscheeden, wéi eng Destinatiounen de Client iwwerhaapt an den Tunnel schéckt.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

De Präfix hei uewen ass Dokumentatiounsraum, an d'Ëmleitung gëllt nëmme fir IPv6, wat genee dat ass, wat eng Dual-Stack-Deployement dacks wëll, während d'IPv6-Liwwerung nach reparéiert gëtt. Eng IPv4-Ëmleitung etabléiert keng IPv6-Abdeckung, an keng vun den Astellungen implizéiert déi aner.

Halt den Kontrolltraffic, op deen IPv6 ugewise ass, funktionéierend ënner där Politik, déi Dir och ëmsetzt. Packet Too Big-Noriichte sinn den typeschen Affer vun enger Firewall, déi nëmmen TCP an UDP erlaabt, an hire Verworf bréngt Verbindungen, déi sech opbauen an dann bei gréisseren Iwwerdroungen hänken.

Router-Announcen sinn déi drëtt beweeglech Deel. Wann d'Gateway ufänkt op dem Uplink ze annoncéieren, kann dat änneren, wat Clienten an Noperen iwwer Präfixen um Link mengen, wat den Design, deen Dir just dokumentéiert hutt, stil ëmstëmme kann.

Dokumentéiert den Design, sou datt e Neibau en reproduzéiert

Schreift dräi Objeten getrennt op: d'Zuwäisung vum Client, d'Destinatiounsroute vum Client an d'Liwwerungsmethod vum Upstream fir d'Zuwäisung. En Lieser, deen all dräi huet, kann d'Deployement nei bauen; en Lieser, deen nëmmen d'Pool-Astellung huet, wäert de urspréngleche Feeler reproduzéieren.

Test dann d'Réckrichtung ausdrécklech, mat engem Pak, dat vun dobausse muss zeréckkommen. D'openvpn(8)-Handbuch deckt d'Optiounen server-ipv6 an redirect of, an d'Routing-Bestätegung vun Ärem Provider deckt déi Halschent of, déi d'Handbuch net kann.