Delegazzjoni tal-Prefiss IPv6 fuq VPN bejn is-Siti: Lista ta' Kontroll
Kontrolli biex jirroutja prefiss IPv6 delegat fuq VPN bejn is-siti: mappa tal-prefissi, seletturi tat-traffiku, trażmissjoni, MTU, rotta tar-ritorn u rinumerazzjoni.
It-tqajjim tal-mina huwa n-nofs faċli. Rajt rabta bejn is-siti tibqa' stabbilita għal ġranet filwaqt li kull host fuq il-LAN imbiegħed kien jirċievi silenzju lura, għax il-prefiss delegat wara dak il-gateway kien ikkonfigurat fuq interface imma qatt ma ġie routjat fil-mina. L-indirizzi tal-mina kienu jwieġbu l-ping il-ħin kollu, u proprju għalhekk ħadd ma ħa ħsieb il-prefiss. Dan huwa l-ordni li niċċekkja meta prefiss IPv6 delegat irid jaqsam VPN bejn is-siti: il-mappa tal-prefissi, is-seletturi tat-traffiku, it-trażmissjoni u l-firewall, u mbagħad ir-rotta tar-ritorn.
Ikteb il-mappa tal-prefissi qabel ma tmiss il-mina
Id-delegazzjoni tal-prefiss tagħti blokka lir-router li talabha. Ma tinstallax rotta fuq il-peer, ma testendix dik il-blokka on-link, u ma tgħidx lill-gateway imbiegħed x'hemm wara r-router li jitlob. Dawn it-tlieta trid tikkonfigurahoms, u jagħmlu parti minn pjan tal-indirizzi qabel ma jinbidel xi fajl tal-konfigurazzjoni.
Għal kull sit, irreġistra l-prefiss delegat, il-/64 li tabilħaqq jintuża fuq il-LAN, l-indirizzi tal-mina u s-sid ta' kull rotta. Il-fornitur jiddelega 2001:db8:a1::/56 lis-sit A, li jaqdi 2001:db8:a1:10::/64 fuq il-LAN tiegħu; is-sit B iżomm 2001:db8:b2::/64. Jekk is-sit A jaqdi biss dak il-/64 wieħed, iż-żewġt itruf għandhom isemmu 2001:db8:a1:10::/64 u mhux il-/56 kollu.
Żewġ żbalji joħorġu kważi kull darba. Wieħed huwa li tqis il-prefiss imbiegħed bħala on-link, tbridgejah jew tpoġġih fuq l-interface tal-mina sabiex il-gateway iwieġeb it-talba tal-ġirien għal hosts li ma jistax jilħaq. L-ieħor huwa li tħabbar il-/56 kollu meta jkun ikkonfigurat /64 wieħed biss: it-tabella tar-rotot tgħid li l-blokka hija raġġungibbli u ħafna mill-indirizzi jaqgħu fit-toqba sewda.
Qabbel is-seletturi tat-traffiku taż-żewġt itruf mar-rotot
IKEv2 u WireGuard it-tnejn jirrifjutaw traffiku li ma jaqbilx, b'mod sieket biżżejjed biex il-mina xorta tidher f'saħħitha.
Fi strongSwan is-seletturi huma espliċiti. Fuq is-sit A:
conn a-to-b
left=2001:db8:ff::1
leftsubnet=2001:db8:a1:10::/64
right=2001:db8:ff::2
rightsubnet=2001:db8:b2::/64
auto=startIl-conn tas-sit B tirrifletti ż-żewġ subnets. Meta ma jaqblux, ir-respondent jirrifjuta l-CHILD_SA b'TS_UNACCEPTABLE, għalhekk il-child SA qatt ma titla', għalkemm l-IKE_SA telgħet. Fuq iż-żewġ naħat is-subnet ikkonfigurat irid ikun ugwali għal dak li l-kernel lokali jroutja lejn il-mina.
WireGuard iġorr l-istess informazzjoni fl-AllowedIPs, b'tidwira waħda: AllowedIPs huwa filtru tas-sors meta tirċievi u rotta meta tibgħat. Jekk l-entrata peer tas-sit B għas-sit A tħalli barra 2001:db8:a1:10::/64, il-pakketti mis-sit A jaslu b'handshake validu u jiġu mwarrba bħala mhux permessi. Dan joħloq il-mudell familjari ta' handshake li jkompli jiġġedded filwaqt li qatt ma joħroġ tweġiba. Qabbel iż-żewġt itruf b'wg show wg0 allowed-ips. Erġa' ċċekkja dik il-lista kull darba li tinbidel id-delegazzjoni; /64 qadim iżomm is-sessjoni ħajja u l-prefiss il-ġdid ma jistax jintlaħaq.
L-ewwel eskludi t-trażmissjoni, il-firewall u l-MTU
Qabel ma taqra linja oħra tal-log, ikkonferma li l-gateways qed jitrażmettu xejn. sysctl net.ipv6.conf.all.forwarding irid jirritorna 1 fuq it-tnejn, applikat ukoll fuq l-interfaces tal-mina u tal-LAN. Ġejja magħha nassa waħda: ladarba t-trażmissjoni tkun mixgħula, interface b'accept_ra=1 jieqaf jaċċetta l-avviżi tar-router mill-fornitur, għalhekk il-magna tista' titlef ir-rotta default upstream filwaqt li tirroutja perfettament ġewwa l-mina. Issettja accept_ra=2 fejn għadha meħtieġa l-RA tal-fornitur.
Imbagħad ir-regoli tal-firewall iridu jippermettu l-prefiss fiż-żewġ direzzjonijiet, u ICMPv6 irid jibqa' ħaj: l-iskoperta tal-ġirien, packet-too-big u destination-unreachable mhumiex fakultattivi. Jekk tarmihom, l-iskoperta tal-MTU tal-passaġġ tinkisser, u jkollok konnessjonijiet li jiftħu u mbagħad jieqfu fl-ewwel tweġiba kbira. Par minimu ta' regoli jidher hekk:
nft add rule inet filter forward ip6 saddr 2001:db8:a1:10::/64 ip6 daddr 2001:db8:b2::/64 accept
nft add rule inet filter forward ip6 saddr 2001:db8:b2::/64 ip6 daddr 2001:db8:a1:10::/64 accept
nft add rule inet filter forward icmpv6 type { packet-too-big, nd-neighbor-solicit, nd-neighbor-advert } acceptL-MTU jinsab wara dan. Il-mina tnaqqas l-MTU użabbli taħt l-1500, u IPv6 tirrikjedi li kull rabta ġġorr mill-inqas 1280. Ping żgħar jgħaddu, sessjoni SSH tiffriża fuq burst kbir, u /proc/net/snmp6 juri messaġġi packet-too-big li qatt ma jerġgħu lura. Issettja l-MTU tal-mina b'mod espliċitu, jew illimita l-MSS TCP fit-tabella mangle, u ħalli l-ICMPv6 li jgħarraf bl-MTU iżgħar jerġa' lura.
Ittestja r-rotta tar-ritorn, mhux l-indirizz tal-mina
Il-falliment li jieħu l-aktar ħin huwa r-routjar f'direzzjoni waħda. Kull gateway jroutja l-prefiss imbiegħed fil-mina, imma l-hosts iwieġbu permezz tal-gateway default tagħhom għax hemmhekk tgħix il-/64 tagħhom. Li twassal pakkett sad-destinazzjoni huwa nofs triq.
| What you see | Likely cause | First check |
|---|---|---|
| Tunnel up, every host silent | remote prefix not routed into the tunnel | ip -6 route get on both gateways |
| Handshake renews, no replies | source prefix missing from selectors or AllowedIPs | ipsec statusall, wg show allowed-ips |
| Small pings pass, transfers stall | MTU or ICMPv6 packet-too-big filtered | /proc/net/snmp6 counters |
| Old prefix still works | stale /64 left in routes or selectors | delegation lease and route table |
Żewġ kmandi jsolvu l-biċċa l-kbira. Fuq is-sit A, ip -6 route get 2001:db8:b2::53 from 2001:db8:a1:10::5 juri liema interface tuża tweġiba minn dak is-sors; agħmel il-kontroll mera fuq is-sit B. Imbagħad iġġenera traffiku minn host u mhux mill-gateway, u qabbel il-counters fiż-żewġt itruf.
Jekk it-talba tal-ġirien għall-prefiss imbiegħed tidher fuq il-mina, dak il-prefiss huwa on-link f'xi post fejn m'għandux ikun; sewwih qabel ma taġġusta r-rotot. Proxy NDP ikopri l-każijiet fejn il-bridging huwa tassew meħtieġ, mhux sostitut għal rotta.
Ippjana li l-prefiss jinbidel taħtek
Id-delegazzjoni tal-prefiss hija kiri bejn ir-router li jiddelega u dak li jitlob, u tiġdid jista' jirritorna blokka differenti: /56 differenti wara migrazzjoni tal-fornitur, jew kiri iqsar milli ilha mqajma l-mina. Kull post li jsemmi l-prefiss antik isir qadim f'daqqa: rotot, seletturi, AllowedIPs, regoli tal-firewall, rekords DNS u kwalunkwe monitoraġġ li jinkoda indirizzi litterali. Il-fluss tal-messaġġi jinsab f'RFC 8415.
Fejn il-prefiss huwa mistenni li jiċċaqlaq, żomm pjan tal-indirizzi intern li ma jiddependix minnu u ttraduċi fil-fruntiera. NPTv6 hija l-għażla bla stat u żżomm il-politika interna tinqara, imma hija traduzzjoni tal-prefiss, mhux saff maġiku: il-fruntieri /64 iridu jaqblu, il-checksums jiġu aġġustati, u l-applikazzjonijiet li jinkorporaw indirizzi litterali xorta jinkisru. Jekk iżżomm l-indirizzi tal-fornitur minn tarf sa tarf, irreġistra l-imġiba tal-kiri u proċedura tal-bidla fil-pjan tal-indirizzi.
Iffinalizza bi test li jiflaħ iż-żmien: host permess fuq kull LAN jilħaq servizz fuq il-LAN l-ieħor, it-tweġiba terġa' lura mill-mina, u l-istess par xorta jaħdem wara restart tal-mina u tiġdid tad-delegazzjoni. Jekk l-aħħar parti tfalli, id-disinn jiddependi minn stat li mhux se jiflaħ il-ġimgħa.