L-egress IPv6 tmut wara restart ta’ OpenVPN: iċċekkja l-pussess tal-prefiss
IPv6 tmut wara li t-tunnel jinħoloq mill-ġdid. Iddeċiedi min għandu l-prefiss delegat, l-indirizzi tal-klijenti u r-rotta tar-ritorn qabel ma terġa’ tibda xejn.
IPv6 tieqaf tgħaddi t-traffiku fil-mument li OpenVPN jerġa’ jibda, u IPv4 tibqa’ taħdem. L-interface tat-tunnel inħoloq mill-ġdid, u xi ħaġa oħra li kienet qed timmaniġġja l-istat IPv6 tiegħu tilfet l-indirizz jew tilfet ir-rotta li tagħmel il-prefiss aċċessibbli. Hemm tliet biċċiet separati ta’ stat involuti, u kull waħda għandha sid differenti: il-prefiss delegat tal-fornitur u l-ħajja tiegħu, l-indirizzi mogħtija lill-klijenti VPN, u r-rotta ’l fuq li tibgħat dak il-prefiss tal-klijent lura lis-server. Identifika s-sid ta’ kull biċċa qabel ma tmiss kwalunkwe daemon, għax ir-restart tal-ħażin jaħbi l-problema għal ġurnata u jġibha lura fil-konnessjoni li jmiss.
Tliet biċċiet ta’ stat IPv6, tliet sidien
| State | Typical owner | What breaks when it is wrong |
|---|---|---|
| Delegated prefix and lifetime | Upstream router or provider via DHCPv6-PD | Clients keep addresses that the upstream no longer routes |
| Client addresses inside the tunnel | OpenVPN server config or a delegation daemon | No global address, or an address outside the routed prefix |
| Return route for the client prefix | Upstream router, or the server's own routing table | Outbound works, replies never arrive |
Indirizz b’firxa globali ġewwa t-tunnel waħdu mhux biżżejjed. Ir-router ’l fuq xorta jridu jibagħtu dak il-prefiss lura lejn is-server VPN, u mhux se jagħmlu dan għax is-server isib ruħu b’indirizz minnu.
Huwa għalhekk li huwa riskjuż li tikkopja /64 pubbliku f’pool tat-tunnel. Prefiss dirett lejn is-server mhuwiex l-istess bħal prefiss li n-naħa ’l fuq tittrattah bħala on-link, u l-iskoperta tal-ġirien mhux se timla dan il-vojt.
Aqra l-istat tas-server qabel ma tbiddel xejn
Aqbad l-istat darbtejn, darba waqt li IPv6 taħdem u darba wara r-restart, imbagħad qabbel. Il-veduti biss għall-qari huma biżżejjed, u ma jiswewx flus waqt tieqa ta’ manutenzjoni:
ip -6 addr show
ip -6 route show table all
ip -6 rule show
sysctl net.ipv6.conf.all.forwardingFittex tliet differenzi speċifiċi: rotta li sparixxiet, indirizz li mxiet għal ħajja skaduta jew mhux valida, u prefiss li nbidel wara delegazzjoni mill-ġdid filwaqt li l-konfigurazzjoni VPN għadha tħabbar dak l-antik.
Jekk l-indirizz sparixxa iżda l-prefiss ma nbidilx, id-daemon li jassenjah waqaf immaniġġja l-interface. Jekk il-prefiss inbidel iżda l-indirizzi le, il-konfigurazzjoni tal-klijent hija skaduta. Iż-żewġ fallimenti jidhru identiċi mill-browser u m’għandhom xejn komuni.
Iddeċiedi jekk dhcpcd għandux immaniġġja t-tunnel
dhcpcd jista’ jiskopri interfaces u jiddelega partijiet ta’ prefiss DHCPv6 lil interfaces ’l isfel, u l-konfigurazzjoni tiegħu tista’ ssemmi l-miri tad-delegazzjoni b’mod espliċitu. Mingħajr mira espliċita, l-imġiba dokumentata tiegħu tista’ tinvolvi interfaces oħra, u hekk tunnel jispiċċa b’indirizz li ħadd ma ppjana.
Żewġ kundizzjonijiet għandhom iġiegħluk tħalli lil OpenVPN jippossjedi l-indirizzar statiku tat-tunnel: is-server jimbotta indirizzi fissi fil-konfigurazzjoni tiegħu, u l-isem tat-tunnel jinbidel mal-konnessjoni mill-ġdid. Jekk it-tnejn jgħoddu, eskludi t-tunnel mid-daemon tad-delegazzjoni apposta, b’kumment li jgħid għaliex.
Jekk minflok id-delegazzjoni lit-tunnel hija apposta, implimenta l-immaniġġjar tal-bidla tal-prefiss. Dan ifisser li tirreaġixxi meta l-prefiss delegat jew il-ħajja tiegħu jinbidlu, jaġġorna l-prefiss tal-klijent imħabbar mis-server, u jerġa’ jżid ir-rotta. L-esklużjoni tal-interface f’dak id-disinn tneħħi l-unika komponent li taf bil-prefiss il-ġdid.
Ir-restart ta’ dhcpcd jista’ jidher li jsewwi l-affarijiet għax jerġa’ joħloq l-istat, iżda jerġa’ jġedded jew jirtira konfigurazzjoni għal interfaces li ma kontx qed taħseb dwarhom. Dak l-irkupru ma jagħmilhiex rekwiżit wara kull restart tal-VPN. Jerġa’ jżerżaq il-kontaturi li kont qed tuża bħala evidenza. Ippreferi rikariku mmirat tal-interface li tassew biddilt.
Ivvalida IPv6 separatament min-NAT tal-IPv4
Ikkonferma li l-forwarding hija attivata u li r-rotta ’l fuq tindika lejn il-prefiss tal-klijent reali, imbagħad agħmel konnessjoni IPv6 ġdida permessa. Iċċekkja wkoll it-tabella tar-rotot IPv6 tal-klijent stess, għax klijent li juri indirizz pubbliku ma jippruvax li t-talba tiegħu użat it-tunnel.
Il-maskerar tal-IPv4 issolvi problema oħra: il-passaġġ tar-ritorn għal sorsi privati. Ma tagħmel xejn għal prefiss IPv6 irtirat, u żżidu ma jġibx lura l-IPv6.
Iġġib fix-xejn bir-reġistru tal-pussess: liema komponent jiddelega l-prefiss, liema jassenja l-indirizzi tal-klijenti, liema jżomm ir-rotta tar-ritorn, u x’jiġri minn kull wieħed mal-konnessjoni mill-ġdid. Erba’ linji f’runbook jiffrankaw lill-persuna li jmiss milli terġa’ tibda tliet daemons biex issib dak li kien jgħodd.