IPv6 przez VPN: delegowany prefiks to nie pula adresów

Tego samego dnia przychodzą dwa zgłoszenia: laptop potrzebuje IPv6 przez tunel, a mała lokalizacja chce IPv6 dla urządzeń za swoim routerem. Obu odpowiada się adresem, a drugie spędza potem tydzień na porażce. Role są różne, podobnie jak mechanizmy, konfiguracja i sprawdzenie, które dowodzi, że to działa. Ten przewodnik trzyma je osobno.

Krok pierwszy: zdecyduj, której roli służysz

Pojedynczy host potrzebuje jednego adresu na swoim interfejsie tunelu, trasy do strony odległej i niczego poniżej, co trzeba by numerować. Router za tunelem potrzebuje całej sieci, którą może rozdzielać, plus trasy po stronie odległej, która kieruje te adresy z powrotem do niego. To, co stoi za tunelem, decyduje o każdej kolejnej decyzji.

Odpowiedz na to pytanie, zanim otworzysz jakąkolwiek konfigurację. Wszystko po tym kroku zależy od tego, jakiej odpowiedzi udzieliłeś.

Krok drugi: przydział adresów dla pojedynczego hosta

Przydziel adres tunelu, potwierdź długość prefiksu, której oczekuje produkt, i sprawdź, czy klient instaluje trasę do zakresu zdalnego, zamiast wysyłać ją do lokalnej bramy domyślnej. /128 na interfejsie tunelu jest normalne dla łącza punkt-punkt, natomiast /64 tam rości sobie prawo do sieci, której nikt nie delegował. Dwa wyniki rozstrzygają pytanie: tabela adresów i tabela tras, odczytane na obu końcach. Czytaj je razem, bo trasa wskazująca niewłaściwy interfejs to najczęstszy błąd w tym kroku.

Sprawdź za pomocą tabel adresów i tras na obu końcach, a następnie wyślij jedno żądanie. Jeśli żądanie wychodzi poprawnie i nic nie wraca, usterka tkwi w trasie strony odległej, a nie w adresie klienta.

Krok trzeci: delegacja dla routera za tunelem

Delegacja prefiksu to osobny mechanizm od przydziału adresów, z własnym żądaniem i własną dzierżawą. Strona delegująca musi być skonfigurowana tak, aby wydawać prefiks wystarczająco duży dla sieci poniżej, a router żądający musi numerować swój interfejs wewnętrzny z tego prefiksu.

Nie zakładaj, że pula obsługująca klientów mobilnych potrafi delegować. Wiele produktów VPN przydziela pojedyncze adresy i nie ma w ogóle roli delegowania, a prefiks dostawcy, który dociera do twojej krawędzi, nie jest automatycznie przekazywany partnerowi. Zapisz, której roli służy każda pula, bo obie konfiguruje się w różnych miejscach.

Krok czwarty: uczyń trasę powrotną jawną

Oba końce muszą się zgodzić, który partner niesie który prefiks. Po stronie odległej dodaj trasę dla delegowanej sieci wskazującą na tunel i potwierdź, że żaden nakładający się zakres już jej nie rości.

Prawidłowy prefiks bez trasy powrotnej daje schludny plan adresowania i brak łączności. Trasa bez reguły dostępu odsłania więcej lokalizacji, niż zamierzano, więc połącz obie zmiany w tym samym oknie i trzymaj stan połowicznie zastosowany z dala od użytkowników.

Krok piąty: sprawdź spoza routera

Wykonaj sprawdzenia po kolei: adres interfejsu tunelu na kliencie, delegowany prefiks na interfejsie wewnętrznym, trasę strony odległej do tego prefiksu i wreszcie żądanie z urządzenia za routerem. Użyj celu, który kontrolujesz, aby cicha blokada dała się odróżnić od brakującej trasy. Którykolwiek krok cię zaskoczy, ten trzeba poprawić przed przejściem dalej.

Ostatnie sprawdzenie wykonaj dwa razy, raz z samego routera i raz z urządzenia za nim. Router, który dociera do celu, podczas gdy jego klienci nie mogą, to problem delegacji lub przekazywania, a nie problem wyżej.

Wycofanie

Zachowaj poprzednią konfigurację adresowania przed zmianą i zanotuj, który z dwóch mechanizmów zmieniłeś. Usunięcie delegowanego prefiksu bez usunięcia trasy zostawia czarną dziurę, a usunięcie trasy bez prefiksu zostawia adresy, do których nic nie dotrze. Zanotuj obie zmiany osobno, bo cofnięcie jednej przy pozostawieniu drugiej czyni lokalizację nieosiągalną tylko w jednym kierunku.

Jeśli produkt okaże się nie obsługiwać roli, której potrzebujesz, zatrzymaj się i zmień projekt, zamiast rozciągać pole klienta, aby zmieściło zakres, dla którego nigdy nie było przeznaczone. Sprawa wsparcia obsłużona złym mechanizmem kosztuje więcej niż zmiana projektu.