Awalan cawangan IPv6: iroute-ipv6 atau route-ipv6 pada pelayan?

Dua arahan dengan nama hampir sama muncul dalam setiap contoh yang berfungsi, dan menyalin satu tanpa yang lain menghasilkan terowong yang kelihatan betul tetapi menggugurkan awalan cawangan secara senyap. Kedua-duanya melakukan kerja berbeza pada dua sisi sempadan yang sama: satu mengajar kernel pelayan di mana sesuatu awalan berada, dan satu lagi mengajar OpenVPN klien yang disahkan membawanya. Jika kedua-duanya betul, awalan mengalir; jika hanya satu betul, paket mempunyai laluan tetapi tiada pemilik.

Dua arahan, dua kerja berbeza

route-ipv6 ialah pemasangan laluan biasa: pelayan menambah laluan kernel yang menghalakan awalan ke antara muka terowongnya. iroute-ipv6 tergolong dalam konteks khusus klien dan mengisytiharkan pemilikan dalaman, jadi daemon tahu bahawa trafik untuk awalan itu harus dihantar kepada klien tertentu dan bukan kepada rakan mana pun yang kebetulan dinamakan oleh laluan kernel.

Satu tentang jadual penghantaran kernel, satu lagi tentang model penghalaan dalaman daemon. Mengasingkan kedua-duanya menjelaskan mengapa konfigurasi yang kelihatan lengkap masih boleh menggugurkan awalan. Ia juga menjelaskan mengapa rangkaian yang sama muncul dua kali dalam setiap contoh yang berfungsi. Tiada baris yang berlebihan.

Dalam persediaan ruang pengguna tradisional kedua-duanya diperlukan dan saling melengkapi. Laluan kernel sahaja meninggalkan daemon tanpa keupayaan memilih rakan. iroute sahaja meninggalkan kernel tanpa laluan ke terowong. Di sinilah juga datangnya sebahagian besar kekeliruan tentang fail setiap klien: fail itu bukan entri jadual laluan, dan entri laluan bukan pernyataan pemilikan.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Di mana setiap satu diletakkan

Laluan masuk ke konfigurasi terurus pelayan, tempat ia terpakai kepada proses pelayan itu. iroute masuk ke fail khusus klien yang dinamakan sempena identiti disahkan peranti cawangan.

Nama fail yang tidak sepadan dengan identiti berkesan tidak pernah dibaca, dan gejalanya sama seperti iroute yang hilang. Semak identiti yang disahkan oleh pelayan, kemudian semak nama fail huruf demi huruf.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Asingkan kumpulan alamat dan awalan cawangan, kerana pertindihannya mencipta teka-teki yang tidak dapat diselesaikan oleh mana-mana arahan.

Apa yang diperlukan klien lain

Klien kedua yang sepatutnya mencapai cawangan itu memerlukan pengiklanan, bukan pemilikan. Tolak awalan kepada klien yang anda maksudkan, dalam konteks klien atau kumpulan yang sesuai dengan konfigurasi anda.

Jangan hantarnya kepada cawangan itu sendiri, kerana peranti itu sudah memiliki awalan sebagai rangkaian bersambung.

Menghantarnya kepada semua orang ialah pilihan yang mempunyai akibat: setiap klien kemudian percaya cawangan boleh dicapai melalui terowong, termasuk klien yang anda tidak pernah berniat memberi akses itu. Pengiklanan sebenarnya ialah keputusan akses, walaupun arahan itu kelihatan seperti kerja paip. rujukan pilihan pelayan mendokumentasikan iroute-ipv6 sebagai pemilikan khusus klien, dan itulah perbezaan yang patut dikekalkan.

Laluan balik pada peranti cawangan

Pemilikan hanya membantu jika cawangan menghantar paket dan LAN-nya tahu cara menjawab. Dayakan penghantaran IPv6 pada peranti cawangan, dan pastikan hos pada LAN-nya menghantar trafik untuk kumpulan VPN kembali ke arah cawangan dan bukan ke laluan lalai yang tidak mengenali kumpulan itu.

Laluan balik itu ialah persamaan IPv6 bagi masalah laluan hilang yang dialami orang dengan IPv4.

Semaknya dari hos LAN dengan carian alamat kumpulan VPN, bukan dari cawangan itu sendiri. Carian yang dibuat pada penghala menjawab soalan yang berbeza daripada yang ditanya oleh pengguna anda, dan kedua-duanya cukup kerap bercanggah sehingga arahan tambahan itu berbaloi.

Apabila pasangan itu masih tidak mencukupi

Sesetengah penggunaan tidak menggunakan laluan ini sama sekali. Laluan data kernel dan pelayan yang diuruskan produk mempunyai pengendalian laluan tersendiri yang disokong, dan contoh ruang pengguna mungkin tidak boleh diterjemahkan secara langsung.

Sahkan laluan data mana yang digunakan oleh binaan anda sebelum menyalin arahan daripada tutorial yang ditulis untuk yang lain.

Akhir sekali, ingat skop alamat: awalan tempatan unik seperti fd00:7a::/64 bersifat peribadi mengikut reka bentuk dan tidak menyatakan apa-apa tentang kebolehcapaian IPv6 awam. Anggapnya sebagai akses dalaman, dan kekalkan egress internet sebagai soalan berasingan dengan dasarnya sendiri.