Legg til privat IPv6 i eit OpenVPN-laboratorium, eitt kontrollpunkt om gongen

Du har alt ein klient som koplar til over IPv4 og når ei privat IPv4-arbeidslast bak serveren. Målet er å nå ei privat IPv6-arbeidslast gjennom same tunnelen utan å røre den ytre transporten. Den rekkjefølgja tel: den ytre vegen blir verande IPv4, og berre den indre adresseplanen, ruta til klienten og returvegen frå server til LAN blir endra. Fem kontrollpunkt, kvart med noko konkret å sjå på før du går vidare.

Kontrollpunkt éin: sambandet som alt verkar

Kopla til klienten og stadfest IPv4-vegen før du legg til noko. Ein tunnel som verkar gir deg ei grunnlinje som skil ein ny IPv6-feil frå eit gammalt sambandsproblem. Han fortel deg òg kva serverinstans du faktisk redigerer.

Skriv ned bassenget, topologien og dei pusha rutene du alt stolar på. IPv6-arbeidet utvidar den konfigurasjonen; det erstattar han ikkje.

Kontrollpunkt to: vel dei indre prefiksa

Vel ein ULA /48 for nettstaden og skjer ut to /64 av han: éin for tunnelklientar, éin for LAN-segmentet som har IPv6-arbeidslasta. Generer den 40-bits globale ID-en i staden for å kopiere eit døme på prefiks, og kontroller begge subneta mot kvart nettverk nettstaden alt rutar:

Outer transport: IPv4 OpenVPN UDP
IPv4 pool:       10.90.0.0/24
IPv6 VPN pool:   fd73:93bc:b6e9:77::/64
IPv6 LAN:        fd73:93bc:b6e9:60::/64
Server LAN IPv6: fd73:93bc:b6e9:60::1

To uavhengige /64 hindrar at klientbassenget blir skore ut av LAN-segmentet, noko som tel seinare når du skriv returruta. Verdiane ovanfor er eitt gjennomarbeidd døme, ikkje eit prefiks for gjenbruk.

Kontrollpunkt tre: legg til hjelparen og rutepushet

Les den noverande serverkonfigurasjonen før du legg til noko. Ein andre kopi av eit eksisterande direktiv smeltar ikkje saman med det første, og feilen som kjem nemner direktivet, ikkje IPv6. Med den eksisterande IPv4-hjelparen på plass utvidar to linjer han. Kvar svarar på eit anna spørsmål:

server-ipv6 fd73:93bc:b6e9:77::/64
push "route-ipv6 fd73:93bc:b6e9:60::/64"

Den første er ein praktisk hjelpar som set opp grensesnittet og klientbassenget. Den andre nemner LAN-målet klienten skal nå. Å gi ein klient ein IPv6-adresse fortel han ikkje kva nettverk som finst bak serveren, så begge linjene trengst.

Hjelparen finst ikkje saman med eit statisk IPv6-basseng eller med nopool. Viss utrullinga med vilje tildeler adresser statisk, hald på den politikken og design IPv6-ekvivalenten eksplisitt i staden for å slette politikken for å passe eit døme.

Kontrollpunkt fire: videresending og svarvegen

Slå på IPv6-videresending på serveren gjennom systemet sin eigen konfigurasjonseigar, ikkje med eit eingongsskriv under køyring som du gløymer. Køyringsforma er nyttig for ein snar test. Varig konfigurasjon høyrer heime i ei drop-in-fil som nettverkseigaren i distribusjonen les:

sysctl -w net.ipv6.conf.all.forwarding=1

Videresending endrar IPv6-åtferda til verten utover å rute pakkar. Ein vert som tok imot rutarannonsar som klient, sluttar med det på same måte når han byrjar å videresende. Ein maskin der IPv6-uplinken er avhengig av RA treng difor ein uttrykkeleg plan for den uplinken.

Gi så LAN-et ei rute tilbake til tunnelbassenget. IPv6-gatewayen til arbeidslasta er LAN-rutaren, ikkje VPN-serveren, så ruta høyrer på den rutaren og peikar mot LAN-adressa til serveren:

ip -6 route add fd73:93bc:b6e9:77::/64 via fd73:93bc:b6e9:60::1

Hald på ICMPv6-typane lenkja treng, inkludert tilbakemelding om sti-MTU. Ein IPv4-brannmurregel tyder ikkje ein IPv6-regel, og ei total IPv6-blokkering øydelegg nabooppdaging på måtar som ser ut som ein ruterfeil.

Kontrollpunkt fem: les klienten, test så

Kopla til klienten att og les adressene han faktisk fekk i staden for å utleie dei frå hjelparadressa til serveren. Grensesnittlista viser båe familiane på same eining:

ip -6 addr show tun0
ip -6 route get fd73:93bc:b6e9:60::20

Ei rute som vel tunnelen beviser at klienten veit kvar pakken skal sendast. Ho beviser ikkje at serveren videresender han, at LAN-rutaren har returruta, eller at applikasjonen får svare.

Test sjølve applikasjonen over kvar familie etter tur, og gjer det om att etter ny tilkopling og etter omstart av verten. Ei rute eller ein sysctl som berre overlever til omstart, er ein test, ikkje eit design.

Publiser berre ein AAAA-post når IPv6-vegen svarar ende-til-ende. DNS som blir spurt over IPv4 kan framleis gi ei IPv6-adresse, så eit namn som let seg slå opp er ikkje prov på at noko lyttar. RFC 4193 ULA-rettleiinga dekkjer generering av den globale ID-en som gjer desse prefiksa dine i staden for ein kopi.