It-traffiku IPv6 għandu jgħaddi mill-VPN jew direttament?
Iddeċiedi jekk ::/0 jappartjenix ġewwa t-tunnel, b'tliet kundizzjonijiet: appoġġ tal-ħruġ, aċċessibilità tal-punt finali u netwerks lokali biss.
Ix-xahar li għadda żewġ persuni talbuni riżultati opposti: wieħed ried li IPv6 ikun kopert mill-VPN, l-ieħor ried li l-printer tal-uffiċċju jibqa' jaħdem. Rotta waħda ::/0 ma tistax tipprovdi t-tnejn waħedha. Jekk dik ir-rotta tappartjenix ġewwa t-tunnel jiddependi minn tliet kundizzjonijiet, u l-ewwel waħda teskludiha għall-biċċa l-kbira tal-ħruġiet kummerċjali. Jekk il-ħruġ ma jġorrx IPv6, ir-rotta tad-default lejh taħbi t-traffiku tiegħek f'tunnel li m'għandux fejn jibgħatu.
Tliet kundizzjonijiet jiddeċiedu t-tweġiba
Ir-rotta tad-default hija linja waħda, ::/0, u taqbel ma' kull destinazzjoni IPv6 mingħajr rotta aktar speċifika (RFC 4291). L-installazzjoni tagħha hija faċli. Id-deċiżjoni jekk għandekx tagħmilha tinżel għal tliet kundizzjonijiet.
Kundizzjoni waħda: il-ħruġ li tikkonnettja miegħu għandu IPv6 jaħdem u huwa lest li jgħaddih. Kundizzjoni tnejn: il-klijent tiegħek jista' jżomm mogħdija lejn il-punt finali tat-tunnel, li normalment jinsab fil-firxa li se tirrotta. Kundizzjoni tlieta: tista' ssemmi d-destinazzjonijiet IPv6 lokali li għandhom jibqgħu barra mit-tunnel.
Kull kundizzjoni tfalli bil-mod tagħha, u għalhekk l-istħajjil jiswa sata sħiħa. L-ewwel kundizzjoni falluta tagħtik silenzju u tabella tal-mogħdijiet li tidher korretta. It-tieni kundizzjoni falluta toqtol il-handshake ftit sekondi wara li jibda. It-tielet kundizzjoni falluta tħalli tunnel jaħdem u kollega mhux kuntent ħdejn il-printer.
| What you see | Decision |
|---|---|
| Exit answers IPv6 probes, no local IPv6 devices to protect | Route ::/0 into the tunnel |
| Exit answers IPv6 probes, printer or NAS reachable by a global address | Route ::/0, then give those prefixes a route of their own |
| Exit is IPv4-only inside the tunnel | Do not route ::/0; block IPv6 on the client |
Endpoint is reached over IPv6 and sits inside ::/0 | Install a host route for the endpoint first |
Il-ħruġ tassew iġorr IPv6?
Interfaċċa tat-tunnel b'indirizz IPv6 ma tipprova xejn dwar in-naħa l-oħra. Ħafna profili kummerċjali huma biss IPv4 ġewwa: is-server jagħtik indirizz v4 u jarmi kull ħaġa oħra. Installa rotta tad-default minn AllowedIPs fuq hekk u l-kernel jibgħat bil-qalb IPv6 f'interfaċċa li l-imsieħeb tagħha qatt ma jaraha.
Ittestja mill-klijent waqt li t-tunnel ikun attiv. ping -6 -c 3 2001:4860:4860::8888 u ip -6 route get 2001:4860:4860::8888 iwieġbu mistoqsijiet differenti: jekk tirritornax tweġiba, u liema apparat għażel il-kernel. Meta t-tieni jsemmi t-tunnel tiegħek u l-ewwel ma jirritornax xejn, il-problema hija l-ħruġ, mhux ir-rotta.
Jekk tmexxi l-ħruġ int stess, it-test tal-klijent jista' jgħaddi u l-mogħdija xorta tispiċċa fi sqaq. Ikkonferma net.ipv6.conf.all.forwarding=1 fuq il-gateway u li l-firewall tiegħu jaċċetta pakketti mibgħuta 'l barra mit-tunnel. Pakkett irrotta sewwa f'ħruġ li jirrifjuta jibgħat jidher eżattament bħal bug tar-rotot min-naħa tal-klijent.
Jista' l-klijent iżomm il-mogħdija tiegħu lejn il-punt finali?
Dan huwa l-każ li qabadni fuq laptop b'punt finali ta' WireGuard biss IPv6. L-indirizz tal-punt finali huwa indirizz globali ordinarju, allura jaqa' ġewwa ::/0. Irrotta l-prefiss kollu fl-interfaċċa u l-pakketti tal-handshake jiġru wara xulxin ġewwa t-tunnel li għadhom qed jippruvaw jibnu. It-tunnel qatt ma jogħla, u xejn fl-output tal-klijent ma jgħid għaliex.
wg-quick jittratta dan fuq Linux. Hija tiddedudi rotot minn AllowedIPs, tinstallahom fit-tabella tagħha stess u żżid regola ta' politika biex it-traffiku lejn il-punt finali jiġi riżolt l-ewwel permezz tat-tabella prinċipali: ir-regola suppress_prefixlength 0 li ssib f'ip -6 rule. Għalhekk wg-quick up jirnexxi fejn ip -6 route add default dev wg0 miktuba bl-idejn taqtgħek barra.
Iċċekkja ż-żewġ stati b'ip -6 route get <endpoint-v6>, qabel u wara t-tlugħ tat-tunnel. Jekk it-tweġiba tinbidel għall-apparat tat-tunnel tiegħek, tkun neħħejt il-mogħdija li t-tunnel jeħtieġ. Meta tikteb ir-rotot int stess, żid rotta host lejn il-punt finali permezz tal-gateway oriġinali, jew ikkonnettja mal-punt finali fuq IPv4 u ħalli IPv6 għall-payload.
X'għandu jibqa' barra mit-tunnel?
Rotot aktar speċifiċi jegħlbu l-default, allura prefiss fuq il-link jew firxa ULA bir-rotta tiegħu jibqa' jaħdem mingħajr sforz żejjed. Dan huwa r-raġuni siekta għaliex ħafna konfigurazzjonijiet IPv4 ta' tunnel sħiħ jgħixu: il-prefissi tal-LAN huma aktar speċifiċi mid-default u qatt ma jidħlu fit-tunnel.
Dan jinkiser meta apparat lokali jkun jista' jintlaħaq permezz ta' indirizz globali, li huwa normali għal printer li l-istess router tah prefiss pubbliku, NAS jew televiżjoni. Dawk l-indirizzi jaqblu ma' ::/0 u ma' xejn ieħor, allura jiċċaqalqu fit-tunnel ma' kull ħaġa oħra u jisparixxu.
Iddeċiedi skont id-destinazzjoni, mhux skont il-protokoll. Jekk żewġ jew tliet hosts lokali jimpurtaw, agħti lill-prefissi tagħhom rotta 'l barra mill-interfaċċa fiżika, jew neħħihom mis-sett negozjat. Jekk il-lista tkompli tikber, it-tweġiba onesta hija split tunneling għal IPv6 b'lista ta' eċċezzjonijiet miktuba, mhux default li tkompli sibbugħ.
Jekk it-tweġiba hija le, ipprojbixxi
Li tħalli IPv6 mingħajr rotta mhuwiex l-istess bħal li tħallih kwiet. Host b'default IPv6 jaħdem ikompli jużah waqt li t-tunnel iġorr IPv4, allura t-traffiku joħroġ ħdejn il-VPN u kull servizz li jippreferi IPv6 jara l-indirizz reali tiegħek. Dan huwa tnixxija, mhux tunnel maqsum.
Agħżel waħda u ikteb liema għażilt. Irrotta d-default u aċċetta l-kompromessi ta' fuq, jew iddiżattiva IPv6 għat-tul tat-tunnel. Li tħalli l-prefiss barra minn AllowedIPs mhuwiex biżżejjed waħdu, għax is-sistema operattiva żżomm id-default tagħha stess. Fuq Linux il-verżjoni goffa hija sysctl -w net.ipv6.conf.all.disable_ipv6=1; il-verżjoni aktar fina twaqqa' IPv6 barra mit-tunnel b'regola tal-firewall. Il-klijenti tat-telefown jiġu b'swiċċ espliċitu li jimblokka IPv6 li jagħmel l-istess xogħol.
Ivverifika bħala tnixxija
Itla' t-tunnel u aqra l-istat minflok tafda s-swiċċ. ip -6 route show default għandu juri default wieħed, u ip -6 route get għal destinazzjoni barra l-LAN tiegħek għandu jsemmi l-apparat tat-tunnel. Erġa' għamel it-tnejn wara skonnessjoni: default li jgħix aktar mit-tunnel huwa l-bug li kont qed tfittex.
Imbagħad ittestja d-direzzjoni l-oħra. Minn host fuq ix-xibka lokali, laħaq il-klijent fuq l-indirizz IPv6 lokali tiegħu. Jekk dan jieqaf jaħdem, it-tielet kundizzjoni qatt ma ġiet sodisfatta, x'ikun qalet it-tabella tal-mogħdijiet dakinnhekk.
Ikteb ir-riżultat fejn se jsibu l-persuna li jmiss: liema prefissi jibqgħu lokali, għaliex u x'jagħmel il-klijent wara skonnessjoni. Żewġ linji f'runbook iħallsu lill-inġinier li jmiss mit-tfittix mill-ġdid tal-linja tal-punt finali f'nofsillejl.