IPv6 over VPN: een gedelegeerd prefix is geen adrespool

Op dezelfde dag komen twee verzoeken binnen: een laptop heeft IPv6 over de tunnel nodig, en een kleine locatie wil IPv6 voor de apparaten achter zijn router. Beide worden met een adres beantwoord, en de tweede brengt daarna een week door met falen. De rollen verschillen, en dat geldt ook voor de mechanismen, de configuratie en de controle die bewijst dat het werkt. Deze handleiding houdt ze gescheiden.

Stap één: bepaal welke rol u bedient

Een enkele host heeft één adres nodig op zijn tunnelinterface, met een route naar de verre kant en niets stroomafwaarts om te nummeren. Een router achter de tunnel heeft een heel netwerk nodig dat hij kan uitdelen, plus een route aan de verre kant die die adressen naar hem terugwijst. Wat achter de tunnel zit, bepaalt elke volgende beslissing.

Beantwoord die vraag voordat u enige configuratie opent. Alles na deze stap hangt af van welk antwoord u gaf.

Stap twee: adrestoewijzing voor een enkele host

Wijs het tunneladres toe, bevestig de prefixlengte die het product verwacht, en controleer of de client een route voor het verre bereik installeert in plaats van die naar de lokale standaardgateway te sturen. Een /128 op een tunnelinterface is normaal voor een punt-tot-puntverbinding, terwijl een /64 daar een netwerk opeist dat niemand heeft gedelegeerd. Twee uitvoerwaarden beslechten de vraag: de adrestabel en de routetabel, aan beide uiteinden gelezen. Lees ze samen, want een route die naar de verkeerde interface wijst is de meest voorkomende fout in deze stap.

Controleer met de adres- en routetabellen aan beide uiteinden en stuur dan één verzoek. Als het verzoek correct vertrekt en er komt niets terug, zit de fout in de route van de verre kant en niet in het adres van de client.

Stap drie: delegatie voor een router achter de tunnel

Prefixdelegatie is een apart mechanisme van adrestoewijzing, met een eigen verzoek en een eigen lease. De delegerende kant moet zo zijn geconfigureerd dat hij een prefix uitgeeft die groot genoeg is voor het netwerk stroomafwaarts, en de vragende router moet zijn binneninterface uit die prefix nummeren.

Ga er niet van uit dat de pool die mobiele clients bedient kan delegeren. Veel VPN-producten wijzen losse adressen toe en hebben helemaal geen delegatierol, en een providerprefix dat aan uw rand aankomt wordt niet automatisch aan een peer doorgegeven. Noteer welke rol elke pool bedient, want de twee worden op verschillende plaatsen geconfigureerd.

Stap vier: maak de retourroute expliciet

Beide uiteinden moeten het erover eens zijn welke peer welk prefix draagt. Voeg aan de verre kant de route voor het gedelegeerde netwerk toe die naar de tunnel wijst, en bevestig dat geen overlappend bereik er al aanspraak op maakt.

Een geldig prefix zonder retourroute levert een net adresplan en geen connectiviteit op. Een route zonder toegangsregel stelt meer van de locatie bloot dan bedoeld, dus combineer de twee wijzigingen in hetzelfde venster en houd een half toegepaste toestand bij de gebruikers weg.

Stap vijf: controleer van achter de router

Voer de controles in volgorde uit: het tunnelinterfaceadres op de client, het gedelegeerde prefix op de binneninterface, de route van de verre kant naar dat prefix, en ten slotte een verzoek vanaf een apparaat achter de router. Gebruik een bestemming die u beheert, zodat een stille blokkade te onderscheiden is van een ontbrekende route. Welke stap u ook verrast, die moet worden hersteld voordat u verdergaat.

Doe de laatste controle twee keer, één keer vanaf de router zelf en één keer vanaf een apparaat erachter. Een router die de bestemming bereikt terwijl zijn clients dat niet kunnen, is een delegatie- of doorstuurprobleem, geen probleem verder stroomopwaarts.

Terugdraaien

Bewaar de vorige adresconfiguratie vóór de wijziging en noteer welk van de twee mechanismen u hebt gewijzigd. Een gedelegeerd prefix verwijderen zonder de route te verwijderen laat een zwart gat achter, en de route zonder het prefix verwijderen laat adressen achter die niets kan bereiken. Noteer de twee wijzigingen afzonderlijk, want het terugdraaien van de ene terwijl de andere blijft staan, maakt een locatie slechts in één richting onbereikbaar.

Als een product de vereiste rol blijkt niet te ondersteunen, stop dan en wijzig het ontwerp in plaats van een clientveld op te rekken om een bereik te bevatten waarvoor het nooit bedoeld was. Een supportcase die met het verkeerde mechanisme wordt beantwoord, kost meer dan de ontwerpwijziging zou hebben gekost.