IPv6 салбар префикс: сервер дээр iroute-ipv6 эсвэл route-ipv6 уу?

Бараг ижил нэртэй хоёр директива ажиллаж буй жишээ бүрт гардаг бөгөөд нэгийг нь нөгөөгүйгээр хуулах нь зөв харагдах боловч салбарын префиксийг чимээгүй алддаг туннель үүсгэдэг. Тэд нэг хилийн хоёр талд өөр ажил хийдэг: нэг нь серверийн цөмд префикс хаана амьдардагийг заадаг бол нөгөө нь OpenVPN аль баталгаажсан клиент түүнийг зөөвөрлөхийг заадаг. Хоёулаа зөв бол префикс урсдаг; нэг нь зөв бол пакетуудад маршрут байгаа ч эзэн байхгүй.

Хоёр директива, хоёр өөр ажил

route-ipv6 — энгийн маршрут суулгах ажиллагаа: сервер префиксийг өөрийн туннель интерфэйс рүү чиглүүлэх цөмийн маршрут нэмдэг. iroute-ipv6 тодорхой клиентийн контекстэд хамаарах бөгөөд дотоод эзэмшлийг зарладаг тул демон энэ префиксийн урсгалыг цөмийн маршрут санамсаргүй нэрлэсэн peer рүү биш, тодорхой клиент рүү илгээх ёстойг мэддэг.

Нэг нь цөмийн дамжуулах хүснэгт, нөгөө нь демоны дотоод маршрутжуулалтын загвартай холбоотой. Тэдгээрийг тусдаа барих нь бүрэн харагдах тохиргоо яагаад префиксийг алдаж болохыг тайлбарладаг. Мөн ижил сүлжээ яагаад ажиллаж буй жишээ бүрт хоёр удаа гардгийг тайлбарладаг. Хоёр мөрийн аль нь ч илүүдэл биш.

Уламжлалт userspace тохиргоонд хоёулаа хэрэгтэй бөгөөд бие биенээ нөхдөг. Ганц цөмийн маршрут демоныг peer сонгох чадваргүй үлдээдэг. Ганц iroute цөмийг туннель рүү гарах замгүй үлдээдэг. Клиент тус бүрийн файлын талаарх будлианы ихэнх нь эндээс үүдэлтэй: файл нь маршрутын хүснэгтийн бичлэг биш, маршрутын бичлэг нь эзэмшлийн мэдэгдэл биш.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Аль нь хаана хамаарах вэ

Маршрут серверийн удирдлагатай тохиргоонд ордог бөгөөд тэнд тэр серверийн процессд хамаарна. iroute нь клиентэд хамаарах файлд ордог бөгөөд тэр нь салбарын төхөөрөмжийн баталгаажсан таних тэмдгийн нэрээр нэрлэгддэг.

Бодит таних тэмдэгт тохирохгүй файлын нэр хэзээ ч уншигддаггүй бөгөөд шинж тэмдэг нь дутуу iroute-той ижил байдаг. Серверийн баталгаажуулсан таних тэмдгийг шалгаад, дараа нь файлын нэрийг тэмдэг тэмдгээр шалгана уу.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Пул болон салбарын префиксийг тусдаа бариарай, учир нь тэдгээрийн давхцал ямар ч директива шийдэж чадахгүй оньсого үүсгэдэг.

Өөр клиентэд юу хэрэгтэй вэ

Тэр салбарт хүрэх ёстой хоёр дахь клиентэд эзэмшил биш, зарлал хэрэгтэй. Префиксийг өөрийн хүссэн клиентүүдэд тохиргоонд тань тохирох клиент эсвэл бүлгийн контекстээр илгээнэ үү.

Үүнийг салбар өөрт нь бүү илгээ, учир нь тэр төхөөрөмжид префикс холбогдсон сүлжээ хэлбэрээр аль хэдийн бий.

Үүнийг бүгдэд илгээх нь үр дагавартай сонголт: тэгэхэд клиент бүр салбар туннелээр хүрэх боломжтой гэж үзнэ, тэр хандалтыг хэзээ ч өгөхийг хүсээгүй клиентүүд хүртэл. Зарлал нь практикт хандалтын шийдвэр бөгөөд директиваа сантехникийн ажил мэт харагдавч. серверийн тохиргооны лавлагаа iroute-ipv6-г клиентэд хамаарах эзэмшил гэж баримтжуулдаг бөгөөд хадгалах ёстой ялгаа нь яг энэ юм.

Салбарын төхөөрөмж дээрх буцах зам

Эзэмшил нь салбар пакетуудыг дамжуулж, түүний LAN хэрхэн хариу үйлдэл үзүүлэхийг мэдвэл л тусална. Салбарын төхөөрөмж дээр IPv6 дамжуулалтыг асааж, түүний LAN дахь хостгууд VPN пулын урсгалыг пулыг мэдэхгүй анхдагч маршрут руу биш, салбар руу буцааж илгээж байгааг баталгаажуулна уу.

Тэр буцах зам нь хүмүүс IPv4-тэй тулгардаг дутуу маршрутын асуудлын IPv6 дүйцэл.

Үүнийг салбарын өөрөөс нь биш, LAN дахь хостоос VPN пулын хаягийг асууж шалгана уу. Маршрутжуулагч дээрх асуулга таны хэрэглэгчдийн асуудаг асуултаас өөр асуултад хариулдаг бөгөөд хоёулаа нэмэлт команд хийхэд хүрэхүйц олон удаа санал нийлдэггүй.

Хос нь хангалтгүй хэвээр байвал

Зарим байршуулалт энэ замыг огт ашигладаггүй. Цөмийн өгөгдлийн зам болон бүтээгдэхүүнээр удирдуулсан серверүүд өөрсдийн дэмжигдсэн маршрутын боловсруулалттай бөгөөд userspace жишээ шууд шилжихгүй байж болно.

Директивуудыг нөгөөд зориулж бичсэн гарын авлагаас хуулахаас өмнө таны бүтээц ямар өгөгдлийн зам ашиглаж байгааг баталгаажуулна уу.

Эцэст нь хаягийн хүрээг санаарай: өвөрмөц локал префикс шиг fd00:7a::/64 нь зохион бүтээлээрээ хувийн бөгөөд нийтийн IPv6-д хүрэх боломжийн талаар юу ч хэлдэггүй. Үүнийг дотоод хандалт гэж үзэж, интернэт рүү гарахыг өөрийн бодлоготой тусдаа асуудал болгон бариарай.