IPv6 atzara prefikss: iroute-ipv6 vai route-ipv6 serverī?

route-ipv6 nogādā prefiksu servera kodolā; iroute-ipv6 nosauc klientu, kas to pārnēsā. Abi pieder serverim, kas izbeidz šo klientu.

Divas gandrīz vienādi nosauktas direktīvas parādās katrā strādājošā piemērā, un vienas kopēšana bez otras rada tuneli, kas izskatās pareizs un klusi izmet atzara prefiksu. Tās veic dažādus darbus dažādās tās pašas robežas pusēs: viena iemāca servera kodolam, kur atrodas prefikss, bet otra pasaka OpenVPN, kuram autentificētajam klientam tas jāpārnēsā. Ja abas ir pareizas, prefikss plūst; ja pareiza ir tikai viena, paketēm ir maršruts, bet nav īpašnieka.

Divas direktīvas, divi dažādi darbi

route-ipv6 ir parasta maršruta instalēšana: serveris pievieno kodola maršrutu, kas vērš prefiksu uz tā tuneļa saskarni. iroute-ipv6 pieder klientam specifiskajam kontekstam un deklarē iekšējas īpašumtiesības, tāpēc dēmons zina, ka šī prefiksa trafiks jāsūta konkrētam klientam, nevis tam peer, kuru nejauši nosauc kodola maršruts.

Viena ir par kodola pārsūtīšanas tabulu, otra par dēmona iekšējo maršrutēšanas modeli. To nošķiršana izskaidro, kāpēc konfigurācija, kas izskatās pilnīga, joprojām var izmest prefiksu. Tā arī izskaidro, kāpēc viens un tas pats tīkls katrā strādājošā piemērā parādās divreiz. Neviena rinda nav lieka.

Tradicionālajā lietotāja telpas iestatījumā abas ir vajadzīgas, un tās papildina viena otru. Tikai kodola maršruts atstāj dēmonu bez iespējas izvēlēties peer. Tikai iroute atstāj kodolu bez ceļa uz tuneli. No šejienes nāk arī lielākā daļa neskaidrību par failiem katram klientam: fails nav maršrutu tabulas ieraksts, un maršruta ieraksts nav īpašumtiesību paziņojums.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Kur kura pieder

Maršruts iet servera pārvaldītajā konfigurācijā, kur tas attiecas uz šo servera procesu. iroute iet klientam specifiskajā failā, kas nosaukts pēc atzara ierīces autentificētās identitātes.

Faila nosaukums, kas neatbilst faktiskajai identitātei, nekad netiek nolasīts, un simptoms ir tāds pats kā trūkstošam iroute. Pārbaudiet identitāti, ko serveris autentificēja, pēc tam pārbaudiet faila nosaukumu burtu pa burtam.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Turiet baseinu un atzara prefiksu atsevišķi, jo to pārklāšanās rada mīklu, ko neviena direktīva nevar atrisināt.

Kas nepieciešams citam klientam

Otrajam klientam, kuram jāsasniedz šis atzars, nepieciešama reklāma, nevis īpašumtiesības. Nosūtiet prefiksu tiem klientiem, kuriem to paredzat, klienta vai grupas kontekstā, kas atbilst jūsu konfigurācijai.

Nesūtiet to pašam atzaram, jo šai ierīcei prefikss jau ir kā pievienots tīkls.

Sūtīšana visiem ir izvēle ar sekām: tad katrs klients tic, ka atzars ir sasniedzams caur tuneli, tostarp klienti, kuriem jūs nekad neplānojāt piešķirt šo piekļuvi. Reklamēšana praksē ir piekļuves lēmums, pat ja direktīva izskatās kā santehnikas darbs. servera opciju atsauce dokumentē iroute-ipv6 kā klientam specifiskas īpašumtiesības, un tas ir saglabāšanas vērta atšķirība.

Atgriešanās ceļš atzara ierīcē

Īpašumtiesības palīdz tikai tad, ja atzars pārsūta paketes un tā LAN zina, kā atbildēt. Iespējojiet IPv6 pārsūtīšanu atzara ierīcē un pārliecinieties, ka tās LAN resursdatori sūta VPN baseina trafiku atpakaļ uz atzaru, nevis uz noklusējuma maršrutu, kas nepazīst baseinu.

Šis atgriešanās ceļš ir IPv6 atbilstība trūkstošā maršruta problēmai, ar ko cilvēki saskaras lietojot IPv4.

Pārbaudiet to no LAN resursdatora, veicot VPN baseina adreses meklēšanu, nevis pašā atzarā. Maršrutētājā veikta meklēšana atbild uz citu jautājumu nekā to, ko uzdod jūsu lietotāji, un abi pietiekami bieži nesaskan, lai papildu komanda būtu tā vērta.

Kad pāris joprojām nav pietiekams

Daži izvietojumi šo ceļu nemaz neizmanto. Kodola datu ceļam un produktu pārvaldītiem serveriem ir sava atbalstīta maršrutu apstrāde, un lietotāja telpas piemērs var netikt pārnests tieši.

Pirms kopējat direktīvas no apmācības, kas rakstīta otram, pārliecinieties, kuru datu ceļu izmanto jūsu būvējums.

Visbeidzot, atcerieties adrešu tvērumu: unikāls vietējais prefikss kā fd00:7a::/64 pēc konstrukcijas ir privāts un neko nepasaka par publisku IPv6 sasniedzamību. Uztveriet to kā iekšēju piekļuvi, un turiet interneta izeju kā atsevišķu jautājumu ar savu politiku.

Saistītie raksti