IPv6 permezz ta' tunnel OpenVPN: dawra fir-router tad-dar

Il-laptop għandu indirizz IPv6, it-tunnel qiegħed fuq IPv4, u minkejja dan kull test IPv6 ifalli. Jew agħar: it-test jirnexxi u t-traffiku ħareġ mill-passaġġ tal-fornitur mingħajr ma qatt daħal fit-tunnel. Iż-żewġ riżultati jmorru lura għal deċiżjoni waħda neqsin: ħadd ma ta lir-router prefiss li seta' jidderieġi lejn il-klijenti. Jekk tgħaddi mill-passaġġ mill-klijent 'il barra, issib liema biċċa hija neqsin.

Ibda minn fejn jinsab il-klijent

Ħares lejn il-klijent qabel ma tmiss is-server. ip -6 addr għandu juri indirizz tat-tunnel mill-pool, u ip -6 route għandu juri l-prefiss imbuttat li jindika lejn l-apparat tat-tunnel. Meta l-indirizz ikun hemm imma l-passaġġ le, l-imbuttar ikun neqsin jew il-klijent injorah. Meta ma jkunx hemm l-ebda waħda, is-server ma alloka xejn.

Imbagħad iċċekkja x'jaħseb il-klijent dwar id-dinja ta' barra. Passaġġ awtomatiku fuq it-tunnel jitlob it-traffiku IPv6 kollu, filwaqt li passaġġ għal 2000::/3 jitlob biss unicast globali. It-tnejn jistgħu jkunu tajbin, u jwieġbu mistoqsijiet differenti dwar it-tnixxija.

Klijent mingħajr ebda passaġġ awtomatiku IPv6 ifalli kull test pubbliku għalkemm it-tunnel innifsu huwa kompletament f'saħħtu. Dik hija lakuna fil-politika, mhux tunnel miksur.

Iċċekkja l-pool li s-server jista' verament jidderieġi

Server jista' jalloka biss minn prefiss li verament jikkontrolla. Jekk il-fornitur jiddelega /56, żomm /64 wieħed għat-tunnel u ħalli l-bqija għal-LAN. Fejn il-fornitur jagħti biss /64 wieħed fuq il-WAN u ma jidderieġix aktar, ħalli l-prefiss tal-LAN kif inhu u agħti lit-tunnel firxa lokali unika, waqt li taċċetta li l-klijenti mhux se jkollhom ħruġ globali.

Il-pool u l-imbuttar imorru flimkien. server-ipv6 2001:db8:80:10::/64 jalloka indirizzi, u push "route-ipv6 2000::/3" jgħid lill-klijenti x'għandhom jibagħtu fit-tunnel. L-imbuttar ta' 2000::/3 ikopri l-unicast globali u jħalli l-firxiet link-local u multicast barra mit-tunnel.

Ikteb il-prefiss magħżul fir-rekord tal-varar. Min jibdel il-konsenja tal-fornitur il-ħin li jmiss irid ikun jaf liema /64 it-tunnel diġà jokkupa.

Ixgħel l-indirizzar 'l quddiem għat-tieni familja

L-indirizzar 'l quddiem IPv4 ma jimplikax dak IPv6. Issettja net.ipv6.conf.all.forwarding=1 u rifletti dak kollu li l-politika FORWARD IPv4 diġà tippermetti. Fuq router li l-katina FORWARD tiegħu twarrab b'mod awtomatiku, sett ta' regoli neqsin jidher eżatt bħal tunnel mejjet.

L-handshake jirnexxi, il-klijent jieħu indirizz, u xejn ma jiġi lura. Żid regoli għaż-żewġ direzzjonijiet u għas-sieq tal-WAN, għax tunnel li jasal sal-LAN imma mhux sal-internet ifalli fit-tielet test. Wara attentat fallut ħares lejn il-kontaturi tal-katina, għax regola li qatt ma qabdet hija problema differenti minn waħda li qabdet u warrbet.

ip6tables -A FORWARD -i br0 -o tun0 -j ACCEPT
ip6tables -A FORWARD -i tun0 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i tun0 -o wan0 -j ACCEPT

Effett sekondarju wieħed jaqbad lil dawk li fl-aħħar jixħtu l-ħtija fuq it-tunnel. L-għoti ta' indirizzar 'l quddiem iġiegħel il-kernel jaqbeż il-konfigurazzjoni tal-indirizz permezz ta' Router Advertisement sakemm ma tgħidlux mod ieħor, u passaġġ awtomatiku mgħallem hekk jisparixxi miegħu. Jew waħħal passaġġ awtomatiku espliċitu fuq l-interface WAN, jew issettja hemm accept_ra għal 2 apposta. Wara kull bidla, ikkonferma li r-router għad għandu passaġġ IPv6 użabbli 'l barra qabel ma terġa' tittestja l-klijenti.

Wieġeb l-iskoperta tal-ġirien meta l-parti ta' fuq ma tidderieġix

Tagħmir ta' fuq kultant jittratta l-/64 iddelegat bħallikieku jappartjeni għall-konnessjoni tiegħu stess u jirrifjuta li jidderieġi kwalunkwe sotto-prefiss lejn il-kaxxa VPN. Meta jiġri dan, xi ħaġa trid twieġeb it-talbiet tal-ġirien għal kull indirizz tal-klijent individwalment.

OpenVPN jesponi l-indirizz allokat lil hook client-connect, hekk l-entrati jistgħu jsegwu l-pool veru minflok lista mħaddma bl-idejn. Il-hook iżid ip -6 neigh add proxy $ifconfig_pool_remote_ip6 dev eth0, u hook client-disconnect li jaqbel ineħħih. Mingħajr it-tneħħija, it-tabella tal-proxy issir skaduta u klijent aktar tard jista' jiret entrata għal indirizz li qatt ma rċieva. Ikkonferma l-istat b'ip -6 neigh show proxy.

Qis il-proxy bħala soluzzjoni temporanja. Passaġġ statiku għall-/64 tat-tunnel indirizzat lejn ir-router jibqa' għaddej meta l-klijenti jinbidlu u m'għandux bżonn ebda hook tal-qoxra b'privileġġi.

Segwi l-passaġġ 'il barra, qabża wara qabża

Ittestja 'l barra fi tliet passi: l-ewwel l-indirizz tat-tunnel tar-router, imbagħad host tal-LAN, u t-tielet destinazzjoni pubblika permezz ta' traceroute6. Il-pool huwa ppruvat mill-ewwel, l-indirizzar 'l quddiem u l-firewall tal-LAN mit-tieni, u l-passaġġ lura mill-parti ta' fuq mit-tielet. Kull falliment iċekken it-tfittxija għal apparat wieħed minflok ma jerġa' jiftaħ id-disinn kollu.

Oqgħod attent għall-MTU tat-tunnel, għax ir-router IPv6 fil-passaġġ mhux se jfarrku għalik. MTU kbira wisq tidher bħala żball packet-too-big u TLS waqfa minflok falliment nadif. Issettjaha b'mod espliċitu u ttestja b'tagħbija qrib il-limitu.