IPv6 over VPN: eit delegert prefiks er ikkje ein adressepool

Same dag kjem to førespurnader inn: ein berbar datamaskin treng IPv6 over tunnelen, og eit lite stad vil ha IPv6 for einingane bak rutaren sin. Begge vert svara med ei adresse, og den andre brukar deretter ei veke på å feile. Rollene er ulike, og det same er mekanismane, konfigurasjonen og kontrollen som beviser at det verkar. Denne rettleiinga held dei åtskilde.

Trinn éin: avgjer kva rolle du tener

Ein einaste vert treng éi adresse på tunnelgrensesnittet sitt, med ei rute til den fjerne sida og ingenting nedstraums som skal nummererast. Ein rutar bak tunnelen treng eit heilt nettverk som han kan dela ut, pluss ei rute på den fjerne sida som peikar desse adressene tilbake til han. Det som ligg bak tunnelen styrer kvar avgjerd som følgjer.

Svar på det spørsmålet før du opnar nokon konfigurasjon. Alt etter dette trinnet er avhengig av kva svar du gav.

Trinn to: adressetildeling for ein einaste vert

Tildel tunneladressa, stadfest prefikslengda som produktet ventar, og kontroller at klienten installerer ei rute for det fjerne området i staden for å senda henne til den lokale standardporten. Ei /128 på eit tunnelgrensesnitt er normalt for eit punkt-til-punkt-samband, medan ei /64 der gjer krav på eit nettverk som ingen har delegert. To utdata avgjer spørsmålet: adressetabellen og rutetabellen, lesne i begge endar. Les dei saman, fordi ei rute som peikar på feil grensesnitt er den vanlegaste feilen i dette trinnet.

Kontroller med adresse- og rutetabellane i begge endar, og send deretter éin førespurnad. Viss førespurnaden går ut rett og ingenting kjem tilbake, ligg feilen i ruta til den fjerne sida og ikkje i adressa til klienten.

Trinn tre: delegering for ein rutar bak tunnelen

Prefiksdelegering er ein eigen mekanisme frå adressetildeling, med sin eigen førespurnad og si eiga leigeavtale. Den delegerande sida må vere konfigurert til å dela ut eit prefiks som er stort nok for nettverket nedstraums, og rutaren som ber om det, må nummerera grensesnittet sitt på innsida frå dette prefikset.

Ikkje gå ut frå at poolen som tener mobile klientar kan delegera. Mange VPN-produkt tildeler einskildadresser og har inga delegeringsrolle i det heile, og eit leverandørprefiks som kjem til kanten din, vert ikkje automatisk sendt vidare til ein motpart. Noter kva rolle kvar pool tener, fordi dei to vert konfigurerte på ulike stader.

Trinn fire: gjer returruta eksplisitt

Begge endar må bli samde om kva motpart som ber kva prefiks. På den fjerne sida legg du til ruta for det delegerte nettverket som peikar mot tunnelen, og stadfestar at ingen overlappande rekkjevidde allereie gjer krav på henne.

Eit gyldig prefiks utan returrute gir ein ryddig adresseplan og inga tilkopling. Ei rute utan ei tilgangsregel eksponerer meir av staden enn tenkt, så kople dei to endringane i same vindauge og hald ein halvvegs brukt tilstand unna brukarane.

Trinn fem: kontroller bak rutaren

Køyr kontrollane i rekkjefølgje: tunnelgrensesnittet si adresse på klienten, det delegerte prefikset på grensesnittet på innsida, ruta til den fjerne sida mot dette prefikset, og til slutt ein førespurnad frå ei eining bak rutaren. Bruk ein destinasjon du kontrollerer, slik at ei stille blokkering kan skiljast frå ei manglande rute. Kva trinn som enn overraskar deg, er det du må retta før du går vidare.

Gjer den siste kontrollen to gonger, éin gong frå rutaren sjølv og éin gong frå ei eining bak han. Ein rutar som når destinasjonen medan klientane ikkje kan, er eit delegerings- eller videresendingsproblem, ikkje eit problem lenger oppe.

Tilbakerulling

Ta vare på den førre adressekonfigurasjonen før endringa, og noter kva av dei to mekanismane du endra. Å fjerna eit delegert prefiks utan å fjerna ruta etterlèt eit svart hol, og å fjerna ruta utan prefikset etterlèt adresser som ingenting kan nå. Noter dei to endringane kvar for seg, fordi å angra den eine medan den andre blir ståande gjer ein stad utilgjengeleg i berre éi retning.

Viss eit produkt viser seg ikkje å støtta rolla du treng, stoppar du og endrar designet i staden for å strekkja eit klientfelt for å halda eit område det aldri var meint for. Ei støttesak svara med feil mekanisme kostar meir enn designendringa ville ha kosta.