Għaliex il-VM GCP tiegħek ma tistax twieġeb għall-pool IPv6 ta’ OpenVPN

Il-klijent VPN IPv6 tiegħek jasal għall-piż tax-xogħol, il-piż tax-xogħol iwieġeb ġewwa t-tunnel, u t-tweġiba qatt ma tasal. L-ewwel instinkt huwa li t-telek il-firewall jew it-tunnel, u normalment l-ebda wieħed minnhom ma huwa ħati. Indirizz li jingħata minn OpenVPN huwa network intern li jeżisti biss ġewwa t-tunnel; Google Cloud m’għandhiex idea li fd42:90::/64 għandu jkun wara VM partikulari sakemm ma tgħidilhiex.

Żewġ sistemi separati għandhom jitgħallmu dan il-fatt, u wieħed biss minnhom huwa OpenVPN. Il-VPC jeħtieġ rotta qabel ma jista’ jibgħat xi ħaġa lura, u l-VM trid titħalla ġġorr ’il quddiem dak li jasal. Żbalja f’xi nofs u s-sintomu jidher identiku.

Il-pool huwa network intern, mhux subnetwork

OpenVPN jista’ jagħti indirizzi IPv6 minn firxa li tagħżel, u dik il-firxa hija finzjoni li jaqblu fuqha ż-żewġt itruf tat-tunnel. Mhuwiex subnetwork ta’ Google Cloud, ma jidhirx fil-lista tas-subnetworks tal-VPC, u l-interface tan-network tal-VM ma takkwistax dawk l-indirizzi. Għalhekk piż tax-xogħol li jwieġeb lil klijent jibgħat packet lejn indirizz li n-network iqis bħala mhux routabbli.

Żomm il-pool barra minn kull firxa li l-VPC diġà juża. Żommu barra mill-firxiet wara t-tunnels l-oħra tiegħek ukoll. L-overlap ibiddel falliment tar-routing nadif fi falliment intermittenti li jidher biss taħt tagħbija.

L-indirizzar lokali uniku bħal fd42:90::/64 huwa għażla raġonevoli għal dan in-network intern. Il-prefiss ifakkrek ukoll li d-disinn huwa privat min-natura tiegħu. Xejn fi pool ULA ma jagħmilu sors leġittimu fuq l-internet pubbliku.

Agħti lill-VPC destinazzjoni u hop li jmiss

It-tweġiba teħtieġ rotta VPC li d-destinazzjoni tagħha hija l-pool u li l-hop li jmiss tagħha hija l-VM VPN. Id-dokumentazzjoni attwali tar-rotot statiċi tkopri l-firxiet tad-destinazzjoni IPv6 u telenka liema tipi ta’ hop li jmiss huma eliġibbli, għalhekk ivverifika l-forma appoġġata għat-topoloġija tiegħek minflok ma tikkopja eżempju IPv4 antik.

L-indirizz tal-hop li jmiss irid ikun wieħed li huwa attwalment assenjat lill-interface cloud tal-istanza. L-indirizz intern tat-tunnel tal-VM mhuwiex dak l-indirizz. Li tużah xorta waħda jipproduċi rotta li tinstalla b’mod nadif u qatt ma taqbel ma’ packet. Aqra l-lista tal-interfaces qabel ma tikteb ir-rotta.

Il-preċedenza tar-rotot hija importanti daqs l-entrata stess. Ir-rotot tas-subnetwork huma aktar speċifiċi mir-rotot personalizzati li żżid, għalhekk pool maqtugħ minn firxa ta’ subnetwork eżistenti jitlef kontra r-rotta tas-subnetwork, irrispettivament minn kif inhi miktuba r-rotta personalizzata. Agħżel pool distint, imbagħad ikkonferma li r-rotta turi l-istanza bħala hop li jmiss u l-prefiss tad-destinazzjoni t-tajjeb:

gcloud compute routes create vpn6-return \
  --network=vpn-vpc \
  --destination-range=fd42:90::/64 \
  --next-hop-instance=openvpn-vm \
  --next-hop-instance-zone=europe-west1-b

Il-ġarr ’il quddiem irid jiġi attivat darbtejn

Rotta twassal il-packet lill-istanza. Ma tagħmilx lill-istanza lesta li ġġorr ’il quddiem xi ħaġa li mhijiex indirizzata lilha, u dik il-permess teżisti f’żewġ safi.

In-naħa tal-cloud teħtieġ il-kapaċità tal-ġarr ’il quddiem tal-istanza attivata; din hija l-konfigurazzjoni li tħalli VM tirċievi traffiku għal indirizzi li ma jkollhiex u tgħaddih. In-naħa tal-mistieden teħtieġ il-ġarr ’il quddiem IPv6 tagħha, għax il-kernel jieħu deċiżjoni separata wara li jasal il-packet. It-tnejn iridu jkunu mixgħula qabel ma tweġiba waħda taqsam it-tunnel.

sysctl -w net.ipv6.conf.all.forwarding=1

Imbagħad ir-regoli tal-firewall iridu jammettu l-firxa tas-sors interna fiż-żewġ direzzjonijiet. Google Cloud tevalwa l-packet dekapsulat, għalhekk regola li tkopri biss is-subnetwork tal-VPC tarmi t-traffiku tal-pool wara li t-tunnel ikun diġà rnexxa. Żid il-pool bħala firxa tas-sors fir-regola tad-dħul, u ċċekkja li l-ebda politika tal-ħruġ personalizzata ma tfixkel it-tweġiba. Ir-regola impliċita tal-permess tkopri l-każ default, regola tal-ħruġ miktuba bl-idejn le.

Għid lil OpenVPN min għandu xiex

OpenVPN iġorr ’il quddiem lejn klijent meta jaf li dak il-klijent għandu d-destinazzjoni. L-indirizzi tal-klijenti mill-pool jiġu mmaniġġjati mid-direttiva tas-server li tiddefinixxi l-pool, iżda subnetwork wara klijent hija arranġament differenti u teħtieġ entrata espliċita ta’ propjetà għal dak il-klijent.

Li tħallat it-tnejn jipproduċi tunnel fejn il-pings lejn is-server jaħdmu u xejn warajh ma jaħdem. Iddeċiedi liema każ qed tibni, imbagħad ikteb l-entrata li taqbel minflok ma żżid it-tieni linja push u tittama.

Żomm il-ħruġ tal-internet barra minn dan id-disinn

Aċċess privat u aċċess għall-internet huma pjanijiet separati. Pool ULA jista’ jilħaq il-piżijiet tax-xogħol tal-VPC mit-tunnel ladarba r-routing u l-ġarr ’il quddiem jaqblu, u l-istess pool m’għandux triq lejn l-internet pubbliku mill-VPC, għax il-gateway tal-cloud mhux se jaċċetta sors tat-tunnel arbitrarju bħala tiegħu.

Jekk il-klijenti jeħtieġu wkoll ħruġ tal-internet, ippjana disinn tal-indirizzar u r-routing appoġġat għalih, żommu indipendenti mill-pool privat, u ttestja ż-żewġ toroq separatament. Triq waħda li taħdem ma tgħid xejn dwar l-oħra, u disinn li jħallat it-tnejn ifalli b’tali mod li jidher qisu tunnel miksur.