OpenVPN лабораторид хувийн IPv6 нэмэх, нэг удаад нэг хяналтын цэг

Танд IPv4-ээр холбогдож, серверийн ард байгаа хувийн IPv4 ажлын ачаалалд хүрдэг клиент аль хэдийн бий. Зорилго нь гадаад тээврийг хөндөхгүйгээр мөн тэр туннелиар хувийн IPv6 ажлын ачаалалд хүрэх юм. Энэ дараалал чухал: гадаад зам IPv4 хэвээр үлдэж, зөвхөн дотоод хаягийн төлөвлөгөө, клиентийн маршрут, серверээс LAN руу буцах зам өөрчлөгдөнө. Таван хяналтын цэг, тус бүрдээ урагшлахаас өмнө харах тодорхой зүйл бий.

Нэгдүгээр хяналтын цэг: аль хэдийн ажиллаж буй холболт

Ямар нэгэн зүйл нэмэхийн өмнө клиентийг холбож, IPv4 замыг баталгаажуулна. Ажиллаж буй туннель шинэ IPv6 алдааг хуучин холболтын асуудлаас ялгах суурь шугам өгнө. Мөн та яг аль серверийн хувилбарыг засварлаж байгааг хэлнэ.

Та аль хэдийн найдаж буй пул, топологи, түлхэгдсэн маршрутуудыг тэмдэглэнэ. IPv6 ажил тэр тохиргоог өргөжүүлнэ; орлуулахгүй.

Хоёрдугаар хяналтын цэг: дотоод префиксүүдийг сонгоно

Сайтад зориулж ULA /48 сонгоод түүнээс хоёр /64 таслана: нэг нь туннелийн клиентүүдэд, нэг нь IPv6 ажлын ачаалалтай LAN сегментэд. Жишээ префикс хуулахын оронд 40 битийн дэлхийн ID үүсгэнэ, хоёр дэд сүлжээг сайтын аль хэдийн маршрутлаж буй сүлжээ бүртэй харьцуулна:

Outer transport: IPv4 OpenVPN UDP
IPv4 pool:       10.90.0.0/24
IPv6 VPN pool:   fd73:93bc:b6e9:77::/64
IPv6 LAN:        fd73:93bc:b6e9:60::/64
Server LAN IPv6: fd73:93bc:b6e9:60::1

Хоёр бие даасан /64 нь клиентийн пулыг LAN сегментээс таслахаас сэргийлнэ, энэ нь дараа буцах маршрут бичихэд чухал. Дээрх утгууд нь боловсруулсан нэг жишээ, дахин ашиглах префикс биш.

Гуравдугаар хяналтын цэг: туслах ба маршрут түлхэхийг нэмнэ

Ямар нэгэн зүйл нэмэхийн өмнө серверийн одоогийн тохиргоог уншина. Одоо байгаа зааврын хоёр дахь хуулбар эхнийхтэй нэгдэхгүй, гарсан алдаа нь IPv6 биш зааврын нэрийг хэлнэ. Одоо байгаа IPv4 туслахтай бол хоёр мөр түүнийг өргөжүүлнэ. Тус бүр өөр асуултад хариулна:

server-ipv6 fd73:93bc:b6e9:77::/64
push "route-ipv6 fd73:93bc:b6e9:60::/64"

Эхнийх нь интерфейс болон клиентийн пулыг тохируулах тохиромжтой туслах. Хоёр дахь нь клиентийн хүрэх ёстой LAN очих газрыг нэрлэнэ. Клиентэд IPv6 хаяг өгөх нь серверийн ард ямар сүлжээ байгааг хэлэхгүй тул хоёр мөр хоёулаа хэрэгтэй.

Туслах нь статик IPv6 пул эсвэл nopool -тай хамт оршин тогтнохгүй. Хэрэв байршуулалт хаягийг санаатайгаар статикаар хуваарилдаг бол тэр бодлогыг хадгалж, жишээнд тааруулахын тулд бодлогыг устгахын оронд IPv6 эквивалентыг тодорхой зохион бүтээ.

Дөрөвдүгээр хяналтын цэг: дамжуулалт ба хариу маршрут

Сервер дээр IPv6 дамжуулалтыг системийн өөрийн тохиргооны эзэмшигчээр асаана, мартах нэг удаагийн ажиллагааны бичлэгээр биш. Ажиллагааны хэлбэр нь хурдан тест хийхэд тохиромжтой. Байнгын тохиргоо нь түгээлтийн сүлжээний эзэмшигчийн уншдаг drop-in файлд байна:

sysctl -w net.ipv6.conf.all.forwarding=1

Дамжуулалт нь пакет чиглүүлэхээс гадна хостын IPv6 зан төлөвийг өөрчилнө. Клиент байдлаар маршрутизаторын зарлалыг хүлээж авдаг байсан хост дамжуулж эхэлмэгц мөн адил хүлээж авахаа болино. Тиймээс IPv6 дээд суваг нь RA-аас хамааралтай машин тэр сувагт тодорхой төлөвлөгөө хэрэгтэй.

Дараа нь LAN-д туннелийн пул руу буцах маршрут өгнө. Ажлын ачааллын IPv6 гарц нь VPN сервер биш LAN маршрутизатор тул маршрут тэр маршрутизатор дээр байх ба серверийн LAN хаяг руу заана:

ip -6 route add fd73:93bc:b6e9:77::/64 via fd73:93bc:b6e9:60::1

Холбоосд хэрэгтэй ICMPv6 төрлүүдийг, зам-MTU-ийн эргэх мэдээллийг оролцуулан хадгална. IPv4 галт ханын дүрэм нь IPv6 дүрэм гэсэн үг биш, бүх IPv6-г хаах нь хөршийн илрүүлэлтийг маршрутын гэмтэл мэт харагдахаар эвддэг.

Тавдугаар хяналтын цэг: клиентийг уншаад, дараа нь тест хийнэ

Клиентийг дахин холбож, серверийн туслах хаягаас таамаглахын оронд түүний үнэхээр авсан хаягуудыг уншина. Интерфейсийн жагсаалт хоёр гэр бүлийг нэг төхөөрөмж дээр харуулна:

ip -6 addr show tun0
ip -6 route get fd73:93bc:b6e9:60::20

Туннелийг сонгосон маршрут нь клиент пакетыг хааша явуулахаа мэдэж байгааг нотолно. Гэхдээ сервер түүнийг дамжуулж байгаа, LAN маршрутизатор буцах маршруттай, эсвэл програмад хариу өгөх зөвшөөрөл байгаа гэдгийг нотлохгүй.

Програмыг өөрөө гэр бүл бүрээр ээлжлэн туршиж, дахин холбогдсоны дараа болон хост дахин ачаалсны дараа давтана. Зөвхөн дахин ачаалах хүртэл үлддэг маршрут эсвэл sysctl бол тест, зохион бүтээл биш.

AAAA бичлэгийг IPv6 зам эхнээс эцэс хүртэл хариу өгсний дараа л нийтэлнэ. IPv4-ээр асуусан DNS ч IPv6 хаяг буцааж чадна, тиймээс шийдэгдэх нэр нь ямар нэгэн зүйл сонсож байгаагийн баталгаа биш. RFC 4193 ULA удирдамж нь эдгээр префиксийг хуулбар биш өөрийн болгох дэлхийн ID үүсгэхийг хамарна.