Li tħoll il-/64 tiegħek mhuwiex jirrotta IPv6 lejn klijenti VPN

Il-klijent juri indirizz IPv6 globali, l-handshake tlestiet, u xejn ma jiġi lura mill-internet. Is-setting tal-pool tidher korretta għax hija korretta; l-indirizz huwa validu u t-tunnel iġorrha. Li jfalli huwa l-kunsinna, u l-kunsinna tiddependi minn deċiżjoni meħuda fuq il-VPN server li l-ebda konfigurazzjoni fuq in-naħa tal-klijent ma tista' tinfluwenzaha.

Il-mit: biċċa mill-/64 tiegħek hija diġà aċċessibbli

L-istorja hija attraenti: is-server għandu /64 pubbliku, aqsmu bin-nofs, agħti n-nofs l-ieħor lill-pool VPN, u dawk il-klijenti issa qegħdin fuq l-internet. L-aqsam tal-prefiss tabilħaqq jalloka indirizzi mingħajr kolliżjonijiet. Iżda ma jibdilx kif in-netwerk upstream jiddeċiedi fejn għandu jmur pakkett għal wieħed minn dawk l-indirizzi.

IPv6 m'għandux saff ta' traduzzjoni awtomatiku fejn jistrieħ, għalhekk il-passaġġ lura jrid jeżisti bħala routing jew bħala kunsinna fil-livell tal-link. Pakkett indirizzat lejn l-indirizz tat-tunnel ta' klijent jasal għand ir-router upstream, u dak ir-router jieħu deċiżjoni ta' forwarding mit-tabella tiegħu stess. Jekk it-tabella tipponta lejn il-link fiżiku, il-pakkett imur hemm irrispettivament minn dak li jemmen is-server VPN tiegħek.

Dan huwa l-falliment kollu: id-direzzjoni 'l quddiem taħdem għax is-server tiegħek jibgħatha, u d-direzzjoni lura tmut ħops 'il bogħod għax l-upstream qatt ma tgħallem li l-klijent jeżisti.

X'tirrikjedi tassew il-kunsinna fuq il-link

Meta l-upstream iqis il-/64 kollu fuq il-link fiżiku, jissolva kull indirizz tad-destinazzjoni bl-iskoperta tal-ġirien. Jibgħat talba fuq dak il-link u jistenna li sid l-indirizz iwieġeb. Klijent VPN wara tunnel mhuwiex fuq dak il-link u ma jistax iwieġeb, għalhekk it-talba tibqa' mingħajr tweġiba u l-pakkett jintrema.

L-aqsam ta' /65 ma jibdilx dak l-istennija. L-upstream xorta jittratta l-firxa bħallikieku fuq il-link, għax l-unika ħaġa li tibdil luħu hija rotta jew proxy li twieġeb f'isem il-klijent. Lanqas waħda minnhom ma tidher għax inti editjajt konfigurazzjoni VPN. Dak id-distakk huwa għaliex pool jista' jaħdem perfettament bejn il-klijenti tiegħu stess u xorta jibqa' mhux aċċessibbli minn kullimkien ieħor.

L-iskoperta tal-ġirien permezz ta' proxy hija l-mekkaniżmu li jista' jgħaqqad iż-żewġ dinjiet. Il-gateway iwieġeb għat-talbiet għall-indirizzi klijent speċifiċi li jippossjedi u jgħaddi t-traffiku fit-tunnel. Jaħdem, u jrid jiġi limitat eżattament għal dawk l-indirizzi b'ċiklu tal-ħajja li jsegwi l-pool, għax li twieġeb għal indirizz li m'għadx taqdih jagħmel it-traffiku ta' ħaddieħor toqba sewda. Xi upstream ma jaċċettawx tweġibiet proxy li ma kinux jistennew, għalhekk dan id-disinn jeħtieġ ukoll il-qbil tal-fornitur.

X'tirrikjedi l-kunsinna rruttata

Id-disinn aktar nadif huwa allokazzjoni li l-upstream verament jirrotta lejn il-gateway tiegħek. Tista' tkun prefiss delegat jew rotta statika għal blokka iżgħar, u r-rekwiżit huwa l-istess fiż-żewġ każijiet: it-tabella tal-upstream trid tipponta lejn is-server tiegħek għall-firxa tal-klijenti. Imbagħad it-traffiku lura jasal fil-gateway u l-gateway jgħaddih fit-tunnel.

Il-kunsinna rruttata tneħħi għal kollox il-kwistjoni tal-iskoperta tal-ġirien, u għalhekk jiswa li titlobha mingħand il-fornitur qabel ma tibni xi ħaġa għaqlija. Itlob ir-rotta bil-miktub, u kkonferma li l-ħops li jmiss huwa l-indirizz li l-upstream verament jista' jilħaq.

Iż-żewġ disinni għadhom jeħtieġu l-forwarding tal-IPv6 attivat fuq il-gateway u regoli tal-firewall li jippermettu l-fluss mgħoddi fiż-żewġ direzzjonijiet. Il-kunsinna hija prekundizzjoni, mhux sostitut, għall-bqija tal-passaġġ. Rotta li taħdem b'forwarding mitfi tipproduċi eżattament l-istess silenzju bħal rotta nieqsa, għalhekk iċċekkja t-tnejn qabel ma terġa' tiddisinja xi ħaġa.

Żewġ rotot indipendenti li jridu jiġu ssetjati sew

Il-prefiss tal-pool u r-rotta awtomatika tal-klijent stess huma settings separati, u li tħallathom tipproduċi konnettività parzjali li tidher qisha tunnel miksur. Il-pool jgħid lis-server liema indirizzi għandu jqassam. Ir-rotot tal-klijent jiddeċiedu lejn liema destinazzjonijiet il-klijent jibgħat traffiku fit-tunnel.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

Il-prefiss hawn fuq huwa spazju ta' dokumentazzjoni, u r-ridirezzjoni tapplika biss għall-IPv6, li huwa eżattament dak li spiss irid skjerament b'żewġ stacks waqt li l-kunsinna tal-IPv6 għadha tiġi fissa. Ridirezzjoni tal-IPv4 ma tistabbilixxix kopertura tal-IPv6, u l-ebda setting ma timplika lill-oħra.

Żomm it-traffiku ta' kontroll li jiddependi fuqu l-IPv6 jaħdem taħt kwalunkwe politika li tapplika. Il-messaġġi Packet Too Big huma l-vittma klassika ta' firewall li jippermetti biss TCP u UDP, u li tarmihom jipproduċi konnessjonijiet li jistabbilixxu ruħhom u mbagħad jeqfu fuq trasferimenti akbar.

It-tħabbir tar-router huwa t-tielet parti li tiċċaqlaq. Jekk il-gateway jibda jħabbar fuq il-link ta' fuq, jista' jibdel dak li l-klijenti u l-ġirien jemmnu dwar il-prefissi fuq il-link, li jista' jħassar bil-kwiet id-disinn li għadek kif iddokumentajt.

Irreġistra d-disinn sabiex bini mill-ġdid jirriproduċih

Ikteb tliet oġġetti separatament: l-allokazzjoni tal-klijent, ir-rotta tad-destinazzjoni tal-klijent, u l-metodu ta' kunsinna tal-upstream għall-allokazzjoni. Qarrej li għandu t-tlieta jista' jerġa' jibni l-iskjerament; qarrej li għandu biss is-setting tal-pool se jirriproduċi l-bug oriġinali.

Imbagħad ittestja d-direzzjoni lura b'mod espliċitu, b'pakkett li jrid jiġi lura minn barra. Il-manwal ta' openvpn(8) ikopri l-għażliet server-ipv6 u redirect, u l-konferma tar-routing mill-fornitur tiegħek tkopri nofs li l-manwal ma jistax.