OpenVPN туннелээр IPv6: гэрийн маршрутизаторын тойм

Зөөврийн компьютер IPv6 хаягтай, туннель IPv4 дээр өргөгдсөн, гэсэн хэдий ч IPv6-ийн бүх шалгалт бүтэлгүйтдэг. Эсвэл бүр дор: шалгалт амжилттай болж, урсгал туннельд огт ороогүйгээр үйлчилгээ үзүүлэгчийн замаар гарч одов. Хоёр үр дүн нэг дутуу шийдвэр рүү буцна: хэн ч маршрутизаторт клиентүүд рүү чиглүүлж чадах префикс өгөөгүй. Замыг клиентээс гадагш нь явбал аль хэсэг дутуу байгааг олно.

Клиент байгаа газраас эхэл

Серверт хүрэхээс өмнө клиентийг хар. ip -6 addr пулаас туннелийн хаяг, ip -6 route туннелийн төхөөрөмж рүү чиглэсэн түлхэгдсэн префиксийг харуулах ёстой. Хаяг байгаа ч зам байхгүй бол түлхэлт дутуу эсвэл клиент үүнийг үл тоомсорлосон. Хоёулаа байхгүй бол сервер огт юу ч хуваарилаагүй.

Дараа нь клиент гадаад ертөнцийн талаар юу гэж боддогийг шалга. Туннелээр дамжих анхдагч зам бүх IPv6 урсгалыг шаарддаг бол 2000::/3-ийн зам зөвхөн дэлхийн unicast-ыг шаарддаг. Хоёулаа зөв байж болох бөгөөд алдагдлын талаар өөр өөр асуултад хариулдаг.

IPv6 анхдагч зам огт байхгүй клиент туннель өөрөө бүрэн эрүүл байсан ч бүх нийтийн шалгалтад бүтэлгүйтдэг. Энэ нь бодлогын цоорхой, эвдэрсэн туннель биш.

Сервер үнэхээр чиглүүлж чадах пулыг шалга

Сервер зөвхөн өөрөө үнэхээр хянадаг префиксээс хуваарилж чадна. Үйлчилгээ үзүүлэгч /56 делегацлавал туннельд нэг /64 үлдээж, бусад нь LAN-д үлдээгээрэй. Үйлчилгээ үзүүлэгч WAN дээр зөвхөн нэг /64 өгч, цаашид юу ч чиглүүлэхгүй бол LAN префиксийг тайван орхиж, туннельд өвөрмөц локал хүрээ өгөөрэй, клиентүүдэд дэлхийн гарах зам байхгүй гэдгийг хүлээн зөвшөөр.

Пул ба түлхэлт хамт явдаг. server-ipv6 2001:db8:80:10::/64 хаягуудыг хуваарилж, push "route-ipv6 2000::/3" клиентүүдэд туннель рүү юу илгээхийг хэлдэг. 2000::/3 түлхэх нь дэлхийн unicast-ыг хамарч, link-local болон multicast хүрээг туннелиас гадуур үлдээдэг.

Сонгосон префиксийг байршуулалтын бүртгэлд бич. Дараагийн удаа үйлчилгээ үзүүлэгчийн шилжүүлгийг өөрчлөх хүн туннель аль /64-ийг аль хэдийн эзэлж байгааг мэдэх хэрэгтэй.

Хоёр дахь гэр бүлд зориулж дамжуулалтыг асаа

IPv4 дамжуулалт нь IPv6 дамжуулалтыг илэрхийлэхгүй. net.ipv6.conf.all.forwarding=1 тохируулж, IPv4 FORWARD бодлого аль хэдийн зөвшөөрдөг бүгдийг нь тусга. FORWARD хэлхээ анхдагчаар хаядаг маршрутизатор дээр дүрмийн багц дутуу байх нь үхсэн туннельтай яг адил харагдана.

Гар барилт амжилттай болж, клиент хаяг авдаг ч буцаж юу ч ирэхгүй. Хоёр чиглэл болон WAN хэсэгт дүрэм нэм, учир нь LAN-д хүрч интернетэд хүрэхгүй туннель гурав дахь шалгалтад бүтэлгүйтдэг. Бүтэлгүй оролдлогын дараа хэлхээний тоолуурыг хар, учир нь хэзээ ч тохироогүй дүрэм тохирч хаясан дүрмээс өөр асуудал.

ip6tables -A FORWARD -i br0 -o tun0 -j ACCEPT
ip6tables -A FORWARD -i tun0 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i tun0 -o wan0 -j ACCEPT

Нэг гаж нөлөө эцэст нь туннелийг буруутгадаг хүмүүсийг барьдаг. Дамжуулалтыг асаахад цөм Router Advertisement-аар хаягийн тохиргоог алгасдаг, өөрөөр хэлээгүй бол, мөн тэгж сурсан анхдагч зам түүнтэй хамт алга болдог. Нэг бол WAN интерфейс дээр тодорхой анхдагч зам бэхэл, эсвэл тэнд accept_ra-ийг санаатайгаар 2 болго. Аливаа өөрчлөлтийн дараа клиентүүдийг дахин шалгахаас өмнө маршрутизатор гадагш гарах ашиглах боломжтой IPv6 замтай хэвээр байгааг батал.

Дээд тал чиглүүлэхгүй үед хөршийн илрүүлэлтэд хариул

Дээд талын төхөөрөмж заримдаа делегацлагдсан /64-ийг өөрийн холбоосынх гэж үзэж, VPN хайрцаг руу ямар ч дэд префикс чиглүүлэхээс татгалздаг. Ийм үед ямар нэг зүйл клиент бүрийн хаягийн хөршийн хүсэлтэд тус тусад нь хариулах ёстой.

OpenVPN хуваарилсан хаягийг client-connect дэгээнд нээж өгдөг тул бичлэгүүд гараар хөтөлдөг жагсаалтын оронд бодит пулыг дагаж чадна. Дэгээ ip -6 neigh add proxy $ifconfig_pool_remote_ip6 dev eth0 нэмж, харгалзах client-disconnect дэгээ түүнийг хасдаг. Хасч чадахгүй бол proxy хүснэгт хуучирч, дараа ирсэн клиент хэзээ ч аваагүй хаягийн бичлэгийг өвлөж болно. Төлвийг ip -6 neigh show proxy-оор батал.

Proxy-г түр шийдэл гэж үз. Туннелийн /64-ийн хувьд маршрутизатор руу чиглэсэн статик зам клиентүүдийн солилцоог даван туулж, давуу эрхтэй shell дэгээ огт шаарддаггүй.

Замыг гадагш нь дага, үсрэлт бүрээр

Гадагш нь гурван алхамаар шалга: эхлээд маршрутизаторын туннелийн хаяг, дараа нь LAN хост, гурав дахь нь traceroute6-аар нийтийн очих газар. Пулыг эхнийх нь, дамжуулалт болон LAN галт ханыг хоёр дахь нь, дээд талаар буцах замыг гурав дахь нь батална. Алдаа бүр бүхэл загварыг дахин нээхийн оронд хайлтыг нэг төхөөрөмж хүртэл нарийсгана.

Туннелийн MTU-г анхаар, учир нь зам дээрх IPv6 маршрутизаторууд таны оронд хуваахгүй. Хэт том MTU нь цэвэр бүтэлгүйтлийн оронд packet-too-big алдаа болон зогссон TLS хэлбэрээр илэрдэг. Үүнийг тодорхой тохируулж, хязгаарт ойр ачааллаар шалга.