Menambah IPv6 peribadi pada makmal OpenVPN, satu titik semak setiap kali

Kekalkan pengangkutan luar pada IPv4 dan luaskan pelan dalaman. Lima titik semak: awalan, pembantu, tolak laluan, pemajuan dan ujian dari pihak klien.

Anda sudah mempunyai klien yang bersambung melalui IPv4 dan mencapai beban kerja IPv4 peribadi di belakang pelayan. Matlamatnya ialah mencapai beban kerja IPv6 peribadi melalui terowong yang sama tanpa menyentuh pengangkutan luar. Urutan itu penting: laluan luar kekal IPv4, dan hanya pelan alamat dalaman, laluan klien serta laluan balik dari pelayan ke LAN berubah. Lima titik semak, setiap satu dengan sesuatu yang konkrit untuk dilihat sebelum meneruskan.

Titik semak satu: sambungan yang sudah berfungsi

Sambungkan klien dan sahkan laluan IPv4 sebelum menambah apa-apa. Terowong yang berfungsi memberi anda garis dasar yang memisahkan kesilapan IPv6 baharu daripada masalah sambungan lama. Ia juga memberitahu anda instans pelayan mana yang sebenarnya anda sedang sunting.

Catat kolam, topologi dan laluan yang ditolak yang sudah anda harapkan. Kerja IPv6 meluaskan konfigurasi itu; ia tidak menggantikannya.

Titik semak dua: pilih awalan dalaman

Pilih ULA /48 untuk tapak dan potong dua /64 daripadanya: satu untuk klien terowong, satu untuk segmen LAN yang menempatkan beban kerja IPv6. Jana ID global 40-bit dan bukan menyalin awalan contoh, dan semak kedua-dua subrang terhadap setiap rangkaian yang sudah dihalakan oleh tapak:

Outer transport: IPv4 OpenVPN UDP
IPv4 pool:       10.90.0.0/24
IPv6 VPN pool:   fd73:93bc:b6e9:77::/64
IPv6 LAN:        fd73:93bc:b6e9:60::/64
Server LAN IPv6: fd73:93bc:b6e9:60::1

Dua /64 bebas menghalang kolam klien daripada dipotong keluar dari segmen LAN, yang penting kemudian apabila anda menulis laluan balik. Nilai di atas ialah satu contoh yang telah diusahakan, bukan awalan untuk diguna semula.

Titik semak tiga: tambah pembantu dan tolak laluan

Baca konfigurasi pelayan semasa sebelum menambah apa-apa. Salinan kedua arahan sedia ada tidak bergabung dengan yang pertama, dan ralat yang terhasil menamakan arahan itu, bukan IPv6. Dengan pembantu IPv4 sedia ada, dua baris meluaskannya. Setiap satu menjawab soalan berbeza:

server-ipv6 fd73:93bc:b6e9:77::/64
push "route-ipv6 fd73:93bc:b6e9:60::/64"

Yang pertama ialah pembantu mudah yang menetapkan antara muka dan kolam klien. Yang kedua menamakan destinasi LAN yang perlu dicapai oleh klien. Memberi klien alamat IPv6 tidak memberitahunya rangkaian apa yang ada di belakang pelayan, jadi kedua-dua baris diperlukan.

Pembantu itu tidak wujud bersama kolam IPv6 statik atau dengan nopool. Jika penggunaan sengaja memperuntukkan alamat secara statik, kekalkan dasar itu dan reka bentuk setara IPv6 secara jelas dan bukan memadam dasar itu untuk menyesuaikan contoh.

Titik semak empat: pemajuan dan laluan balasan

Hidupkan pemajuan IPv6 pada pelayan melalui pemilik konfigurasi sistem itu sendiri, bukan dengan tulisan masa jalan sekali sahaja yang akan anda lupakan. Bentuk masa jalan berguna untuk ujian pantas. Konfigurasi kekal berada dalam fail drop-in yang dibaca oleh pemilik rangkaian edaran:

sysctl -w net.ipv6.conf.all.forwarding=1

Pemajuan mengubah tingkah laku IPv6 hos melebihi penghalaan paket. Hos yang menerima pengumuman penghala sebagai klien berhenti berbuat demikian dengan cara yang sama apabila mula memajukan. Oleh itu mesin yang uplink IPv6-nya bergantung pada RA memerlukan pelan jelas untuk uplink itu.

Kemudian beri LAN laluan balik ke kolam terowong. Gerbang IPv6 beban kerja ialah penghala LAN, bukan pelayan VPN, jadi laluan itu terletak pada penghala itu dan menghala ke alamat LAN pelayan:

ip -6 route add fd73:93bc:b6e9:77::/64 via fd73:93bc:b6e9:60::1

Kekalkan jenis ICMPv6 yang diperlukan oleh pautan, termasuk maklum balas MTU laluan. Peraturan tembok api IPv4 tidak bermakna peraturan IPv6, dan sekatan IPv6 menyeluruh merosakkan penemuan jiran dengan cara yang kelihatan seperti kerosakan penghalaan.

Titik semak lima: baca klien, kemudian uji

Sambungkan semula klien dan baca alamat yang benar-benar diterimanya dan bukan membuat kesimpulan daripada alamat pembantu pelayan. Senarai antara muka menunjukkan kedua-dua keluarga pada peranti yang sama:

ip -6 addr show tun0
ip -6 route get fd73:93bc:b6e9:60::20

Laluan yang memilih terowong membuktikan klien tahu ke mana hendak menghantar paket. Ia tidak membuktikan pelayan memajukannya, penghala LAN mempunyai laluan balik, atau aplikasi dibenarkan menjawab.

Uji aplikasi itu sendiri melalui setiap keluarga secara bergilir, kemudian ulangi selepas sambung semula dan selepas hos dimulakan semula. Laluan atau sysctl yang hanya bertahan sehingga but semula ialah ujian, bukan reka bentuk.

Terbitkan rekod AAAA hanya apabila laluan IPv6 menjawab dari hujung ke hujung. DNS yang ditanya melalui IPv4 masih boleh memulangkan alamat IPv6, jadi nama yang boleh diselesaikan bukan bukti bahawa ada sesuatu yang mendengar. Panduan RFC 4193 untuk ULA merangkumi penjanaan ID global yang menjadikan awalan ini milik anda dan bukan salinan.

Artikel berkaitan