IPv6 over VPN: et delegert prefiks er ikke en adressepool

Samme dag kommer to forespørsler inn: en bærbar datamaskin trenger IPv6 over tunnelen, og et lite sted vil ha IPv6 for enhetene bak ruteren sin. Begge besvares med en adresse, og den andre bruker deretter en uke på å feile. Rollene er forskjellige, og det samme er mekanismene, konfigurasjonen og kontrollen som beviser at det virker. Denne veiledningen holder dem atskilt.

Trinn én: avgjør hvilken rolle du betjener

En enkelt vert trenger én adresse på tunnelgrensesnittet sitt, med en rute til den fjerne siden og ingenting nedstrøms som skal nummereres. En ruter bak tunnelen trenger et helt nettverk som den kan dele ut, pluss en rute på den fjerne siden som peker disse adressene tilbake til den. Det som ligger bak tunnelen styrer hver beslutning som følger.

Svar på det spørsmålet før du åpner noen konfigurasjon. Alt etter dette trinnet avhenger av hvilket svar du ga.

Trinn to: adressetildeling for en enkelt vert

Tildel tunneladressen, bekreft prefikslengden som produktet forventer, og kontroller at klienten installerer en rute for det fjerne området i stedet for å sende den til den lokale standardgatewayen. En /128 på et tunnelgrensesnitt er normalt for en punkt-til-punkt-forbindelse, mens en /64 der gjør krav på et nettverk som ingen har delegert. To utdata avgjør spørsmålet: adressetabellen og rutetabellen, lest i begge ender. Les dem sammen, fordi en rute som peker på feil grensesnitt er den vanligste feilen i dette trinnet.

Kontroller med adresse- og rutetabellene i begge ender, og send deretter én forespørsel. Hvis forespørselen går ut riktig og ingenting kommer tilbake, ligger feilen i den fjerne sidens rute og ikke i klientens adresse.

Trinn tre: delegering for en ruter bak tunnelen

Prefiksdelegering er en egen mekanisme fra adressetildeling, med sin egen forespørsel og sin egen leieavtale. Den delegerende siden må være konfigurert til å dele ut et prefiks som er stort nok for nettverket nedstrøms, og ruteren som ber om det, må nummerere sitt indre grensesnitt fra dette prefikset.

Ikke anta at poolen som betjener mobile klienter kan delegere. Mange VPN-produkter tildeler enkeltadresser og har ingen delegeringsrolle i det hele tatt, og et leverandørprefiks som ankommer kanten din, sendes ikke automatisk videre til en motpart. Noter hvilken rolle hver pool betjener, fordi de to konfigureres på forskjellige steder.

Trinn fire: gjør returruten eksplisitt

Begge ender må bli enige om hvilken motpart som bærer hvilket prefiks. På den fjerne siden legger du til ruten for det delegerte nettverket som peker mot tunnelen, og bekrefter at ingen overlappende rekkevidde allerede gjør krav på den.

Et gyldig prefiks uten returrute gir en ryddig adresseplan og ingen tilkobling. En rute uten en tilgangsregel eksponerer mer av stedet enn tiltenkt, så koble de to endringene i samme vindu og hold en halvveis anvendt tilstand unna brukerne.

Trinn fem: kontroller bak ruteren

Kjør kontrollene i rekkefølge: tunnelgrensesnittets adresse på klienten, det delegerte prefikset på det indre grensesnittet, den fjerne sidens rute mot dette prefikset, og til slutt en forespørsel fra en enhet bak ruteren. Bruk en destinasjon du kontrollerer, slik at en stille blokkering kan skilles fra en manglende rute. Hvilket trinn som enn overrasker deg, er det du må rette før du går videre.

Gjør den siste kontrollen to ganger, én gang fra ruteren selv og én gang fra en enhet bak den. En ruter som når destinasjonen mens klientene ikke kan, er et delegerings- eller videresendingsproblem, ikke et problem lenger oppe.

Tilbakerulling

Ta vare på den forrige adressekonfigurasjonen før endringen, og noter hvilken av de to mekanismene du endret. Å fjerne et delegert prefiks uten å fjerne ruten etterlater et svart hull, og å fjerne ruten uten prefikset etterlater adresser som ingenting kan nå. Noter de to endringene hver for seg, fordi å angre den ene mens den andre blir stående gjør et sted utilgjengelig i bare én retning.

Hvis et produkt viser seg ikke å støtte rollen du trenger, stopper du og endrer designet i stedet for å strekke et klientfelt for å holde et område det aldri var ment for. En støttesak besvart med feil mekanisme koster mer enn designendringen ville ha kostet.