L-ippjanar tal-IPv6 għal hub WireGuard b'żewġ siti: prefiss, pari, rotot

Żewġ LAN, hub WireGuard wieħed u pjan ta' indirizzi IPv6 li jrid iwieġeb tliet mistoqsijiet separati: liema prefiss, liema indirizz jappartjeni lill kull router, u liema pari jippossjedi liema subnetwork. Jekk wieħed minnhom ikun żbaljat, tinħoloq tunnel li tagħmel handshake u ma tgħaddix xejn. Il-pjan hawn taħt jagħti ħarsa lejn disinn privat b'żewġ siti f'dik l-ordni. Huwa apposta ma jipprovdix aċċess tal-internet permezz ta' IPv6.

Iddeċiedi għal xiex iservi l-prefiss

Prefiss lokali uniku minn fd00::/8 huwa l-għażla naturali meta l-mira tkun il-wasla privata bejn is-siti. Jibqa' stabbli irrispettivament minn liema ISP jaqdi kull post, u ma jiġix imħabbar fit-tabella tal-routing globali, allura ma jistax inixxi n-numerazzjoni interna tiegħek fl-internet.

L-istess propjetà hija l-limitazzjoni. ULA ma tagħti l-ebda triq tar-ritorn pubblika, għax ħadd upstream ma jaf biex jirrotta lilha lejn il-gateway tiegħek. Jekk il-ħtieġa tinkludi ħruġ tal-internet permezz ta' IPv6, għandek bżonn allokazzjoni mingħand fornitur li jirrotta lilha lejk, u dik hija deċiżjoni tad-disinn separata bid-daqs tal-prefiss tagħha stess.

Tassumix li kull implimentazzjoni teħtieġ /48. RFC 6177 tbiegħed minn daqs waħdieni obbligatorju għas-sit aħħari, u d-daqs tajjeb jiddependi fuq in-numru ta' networks li se tħaddem. Iġġenera l-ULA bil-proċedura RFC 4193 minflok toħloq prefiss li organizzazzjoni oħra tista' wkoll tuża. Ikteb ir-riżultat fil-pjan tal-indirizzi qabel ma jiġi kkonfigurat xi apparat, għax prefiss li ħadd ma rrekordja huwa prefiss li xi ħadd se jerġa' juża.

Aqsam il-prefiss f'rwoli

L-eżempju hawn taħt juża fd7c:2e91:4a00::/48, u t-tabella hija organizzata skont fejn jinkiteb kull blokka, mhux skont is-sit. Qis il-valuri bħala kampjun u iġġenera tiegħek qabel ma tuża xejn.

Il-blokki LAN huma /64 għax SLAAC ordinarju jistenna identifikatur tal-interface ta' 64 bit. Li tqassam LAN fi blokka iżgħar ikisser dik l-assunzjoni fuq il-biċċa l-kbira tal-hosts, u l-ispiża operattiva mhijiex tiswa l-iffrankar tal-indirizzi fi pjan privat. Iż-żewġ blokki LAN jiġu min-nofs tal-/48, u jħallu l-medda baxxa ħielsa għal siti aktar tard.

L-indirizzi tat-tunnel huma ħażna amministrattiva, mhux network fuq il-link. Kull interface jieħu /128 waħda minnha, allura ħadd host ma jassumi subnetwork maqsuma fuq it-tunnel u l-iskoperta tal-ġirien ma taħdimx fejn mhija meħtieġa. Żomm ir-rwoli separati u rreġistrahom fil-pjan tal-indirizzi tal-organizzazzjoni sabiex sit aktar tard ma jerġax juża blokka.

Agħti lil kull router indirizz tat-tunnel wieħed

Tassenja /128 waħda għal kull router u żomm iċ-ċwievet u l-endpoints eżistenti tal-hub li qed jaħdem. It-tliet valuri hawn taħt huma differenti biss fil-parti tal-host.

Hub:    Address = fd7c:2e91:4a00:ff00::1/128
Site A: Address = fd7c:2e91:4a00:ff00::2/128
Site B: Address = fd7c:2e91:4a00:ff00::3/128

Din /128 tiddeskrivi l-uniku indirizz assenjat lil dik l-interface. Ma tgħid xejn dwar kemm destinazzjonijiet il-pari jista' jirrotta, għax il-wasla tiġi espressa f'AllowedIPs u mhux fil-prefiss tal-interface.

Kull router tas-sit jeħtieġ ukoll indirizz fil-blokka LAN tiegħu u mod kif iqassmu, normalment avviżi tar-router għas-SLAAC. WireGuard ma jibgħatx dawk l-avviżi għalik, u ma jagħmilx pont bejn iż-żewġ LAN. Ir-router tas-sit huwa router fiż-żewġ direzzjonijiet.

Qiegħed is-sjieda tas-subnetwork fl-AllowedIPs

L-entrata tal-pari tal-hub għas-Sit A tippossjedi l-indirizz tat-tunnel ta' A u l-LAN ta' A, u dik il-par hija d-dikjarazzjoni kollha tas-sjieda. Xejn ieħor f'dik it-taqsima tal-pari miftiehem li jiddeskrivi s-sit.

AllowedIPs = fd7c:2e91:4a00:ff00::2/128, fd7c:2e91:4a00:10::/64

L-entrata tal-pari għas-Sit B tippossjedi l-par li jqabbel, u s-simetrija hawn hija aktar importanti mill-qosra. Aqra ż-żewġ linji flimkien u l-qsim tas-sjieda jsir viżibbli b'daqqa t'għajn.

AllowedIPs = fd7c:2e91:4a00:ff00::3/128, fd7c:2e91:4a00:20::/64

Dawn huma żewġ taqsimiet tal-pari separati, mhux żewġ listi li jikkompetu għal pari wieħed. WireGuard juża AllowedIPs fiż-żewġ direzzjonijiet: jagħżel il-pari għal destinazzjoni ħierġa, u jirrifjuta pakkett deħlin li s-sors tiegħu ma jaqbilx mal-medda assenjata lill-pari li ddeċifrah. Li tagħti l-/48 kollu liż-żewġ pari jintefa' dak it-tieni kontroll u jċajpar liema sit jippossjedi liema blokka. Dik id-distinzjoni hija li tagħmel indirizz tas-sors żbaljat viżibbli minflok aċċettat fis-skiet.

Kull sit jeħtieġ biss id-destinazzjonijiet li jintlaħqu permezz tal-pari tal-hub tiegħu: is-Sit A jelenka l-indirizz tal-hub, l-indirizz tat-tunnel tas-Sit B u l-LAN ta' B, u s-Sit B jelenka s-sett reċiproku. Il-listi huma asimmetriċi apposta, għax kull router jara naħa differenti tat-topoloġija. Ikteb it-tnejn mill-pjan tal-indirizzi u mhux mill-konfigurazzjoni tas-sit l-ieħor, għax hekk medda antika tibqa' tgħix rinumerazzjoni.

B'wg-quick, dawn il-meded joħolqu wkoll rotot. B'systemd-networkd jew konfigurazzjoni manwali, żid ir-rotot ekwivalenti int stess; inkella t-tunnel iġorr pakketti li l-kernel qatt ma jibgħat fih.

Ilesti l-forwarding u ttestja ż-żewġ direzzjonijiet

Ippermetti l-forwarding tal-IPv6 fuq il-hub u fuq iż-żewġ routers tas-siti, u ippermetti s-servizzi meħtieġa bejn is-siti fil-politika tal-forwarding. Żomm il-messaġġi ICMPv6 Packet Too Big użabbli, għax it-twarrib tagħhom ikisser l-iskoperta tal-MTU tal-passaġġ u jipproduċi waqfiet fit-trasferimenti kbar li jidhru bħal ħsarat tal-applikazzjoni. Hub li jgħaddi mingħajr il-permess tal-firewall iwarrab il-pakkett bejn ir-routing u t-tunnel. Dan il-mod ta' falliment jistħoqqlu jkun magħruf, għax it-tunnel jibqa' għaddej u jmutu biss xi flussi.

sysctl net.ipv6.conf.all.forwarding
ip -6 route
ping -6 -c 3 fd7c:2e91:4a00:20::1

Ittestja minn host fis-Sit A għal host fis-Sit B u mbagħad fid-direzzjoni opposta. Ping lejn l-indirizz tat-tunnel tal-hub jeżerċita biss l-ewwel qabża u jgħaddi anki meta r-rotot LAN ikunu żbaljati. Il-fluss minn host għal host huwa dak li jipprova l-pjan.

Il-konnessjoni WireGuard ta' barra tista' taħdem fuq IPv4 waqt li t-traffiku ta' ġewwa huwa IPv6, u dik l-indipendenza hija utli waqt il-migrazzjoni. Jekk aktar tard jiżdied ħruġ IPv6 globali, erġa' eżamina l-allokazzjoni tal-fornitur, l-għażla tal-indirizz tas-sors u r-routing tar-ritorn bħala pass ġdid tad-disinn; il-pjan privat hawn fuq jibqa' validu għat-traffiku bejn is-siti.