ولې ستاسو GCP VM د OpenVPN IPv6 پول ته ځواب نشي ورکولی

ستاسو IPv6 VPN کړندی کار بوج ته رسېږي، کار بوج تونل ته ځواب ورکوي، او ځواب هېڅکله نه رسېږي. لومړنی احساس دا دی چې فایر وال یا تونل په ګوتو ونیول شي، او معمولاً هېڅ یو هم نه دی مجرم. هغه پته چې OpenVPN ورکوي یوه داخلي شبکه ده چې یوازې د تونل دننه شتون لري؛ Google Cloud نه پوهېږي چې fd42:90::/64 باید د یو ځانګړي VM شاته وي تر څو چې تاسو ورته ووایاست.

دوه جلا سیستمونه باید دا حقیقت زده کړي، او یوازې یو یې OpenVPN دی. VPC اړ دی چې لار ولري مخکې له دې چې څه بیرته ولېږي، او VM ته باید اجازه ورکړل شي چې هغه څه ولېږدوي چې راځي. په هر نیمایي کې تېروتنه وکړئ او نښه ورته ښکاري.

پول یوه داخلي شبکه ده، نه فرعي شبکه

OpenVPN کولای شي د هغې ساحې څخه چې تاسو ټاکئ IPv6 پتې ورکړي، او هغه ساحه یوه خیالي خبره ده چې د تونل دواړه سرونه پرې موافق دي. دا د Google Cloud فرعي شبکه نه ده، د VPC د فرعي شبکو په لیست کې نه ښکاري، او د VM شبکه يي انټرفیس هغه پتې نه ترلاسه کوي. نو ځکه هغه کار بوج چې کړندي ته ځواب ورکوي، پاکټ هغې پتې ته لېږي چې شبکه يې د لار نه لرونکې ګڼي.

پول له هرهغې ساحې بهر وساتئ چې VPC دمخه کاروي. له هغو ساحو هم بهر وساتئ چې ستاسو د نورو تونلونو شاته دي. یو بل ته ننوتل یوه پاکه د لارې نیمګړتیا په دوره يي نیمګړتیا بدلوي چې یوازې د بار لاندې ښکاري.

د fd42:90::/64 په څېر ځانګړې سیمه ييزه پته ورکول د دې داخلي شبکې لپاره مناسبه اندازه ده. مخړونه همدا راز یادونه کوي چې ډیزاین په خپل ذات کې شخصي دی. په ULA پول کې هېڅ شی دا په عامه انټرنېټ کې قانوني سرچینه نه جوړوي.

VPC ته هدف او بله ټوپ ورکړئ

ځواب ته د VPC هغه لار ته اړتیا ده چې هدف یې پول او بله ټوپ یې VPN VM وي. اوسنی د سټاټیک لارو اسناد د IPv6 د هدف ساحې پوښي او لیستوي چې کوم ډوله بله ټوپ وړ دي، نو د پخواني IPv4 بېلګې کاپي کولو پرځای د خپلې ټوپولوژۍ لپاره ملاتړ شوې بڼه وګورئ.

د بلې ټوپ پته باید هغه وي چې په رېښتیا د انسټنټ د کلاوډ انټرفیس ته ورکړل شوې ده. د VM داخلي تونل پته هغه پته نه ده. هغه کارول سره له دې هم یوه لار جوړوي چې پاکه نصبېږي او هېڅکله له پاکټ سره نه ځي. لار لیکلو دمخه د انټرفیسونو لیست ولولئ.

د لارې لومړیتوب د خبر پرته هماغومره مهم دی. د فرعي شبکې لارې ستاسو د اضافه شوو ځانګړو لارو څخه ډېرې مشخصې دي، نو هغه پول چې د موجودې فرعي شبکې ساحې څخه پرې شوی وي، هغه به د فرعي شبکې لارې ته بایلي، هرڅنګه چې ځانګړې لار لیکل شوې وي. یو جلا پول وټاکئ، بیا تایید کړئ چې لار انسټنټ د بلې ټوپ او سم هدف مخړونې په توګه ښیي:

gcloud compute routes create vpn6-return \
  --network=vpn-vpc \
  --destination-range=fd42:90::/64 \
  --next-hop-instance=openvpn-vm \
  --next-hop-instance-zone=europe-west1-b

لېږد باید دوه ځله فعال شي

لار پاکټ انسټنټ ته رسوي. دا انسټنټ هغه څه لېږدو ته اماده نه کوي چې هغه ته نه دي پته ورکړل شوې، او دا اجازه په دوه طبقو کې شته.

کلاوډ اړخ ته د انسټنټ د لېږد وړتیا فعاله اړتیا ده؛ دا هغه ترتیب دی چې VM ته اجازه ورکوي د هغو پتو لپاره ترافیک ترلاسه کړي چې هغه يې مالک نه دی او هغه ولېږدوي. مېلمه اړخ ته خپل IPv6 لېږد ته اړتیا ده، ځکه چې کرنل د پاکټ له رسېدو وروسته جلا پرېکړه کوي. دواړه باید فعال وي مخکې له دې چې یو ځواب تونل تېر کړي.

sysctl -w net.ipv6.conf.all.forwarding=1

بیا د فایر وال قواعد باید داخلي سرچینه ساحه په دواړو لورو کې اجازه کړي. Google Cloud د کپسول څخه ایستل شوی پاکټ ارزوي، نو هغه قاعده چې یوازې د VPC فرعي شبکه پوښي، د پول ترافیک غورځوي وروسته له دې چې تونل دمخه بریالی شوی. پول په ننوتلو قاعده کې د سرچینې ساحې په توګه اضافه کړئ، او وګورئ چې کومه ځانګړې وتلو پالیسي ځواب نه بندوي. ضمني اجازه قاعده د اصلي حالت پوښي، لاس لیکل شوې وتلو قاعده نه.

OpenVPN ته ووایاست چې څوک څه لري

OpenVPN هغه وخت کړندي ته لېږدوي چې پوه شي هغه کړندی د هدف مالک دی. د پول څخه د کړندو پتې د هغه سرور لارښوونې لخوا اداره کېږي چې پول تعریفوي، خو د یو کړندي شاته فرعي شبکه بله ترتیبه ده او د هغه کړندي لپاره روښانه د مالکیت خبر ته اړتیا لري.

دواړه یو بل سره ګډول یو تونل جوړوي چې سرور ته پینګ پکې کار کوي او د هغه شاته هېڅ نه. پریکړه وکړئ چې کوم حالت جوړوئ، بیا د دویمې push کرښې اضافه کولو او هیله کولو پرځای سمه خبر ولیکئ.

د انټرنېټ وتل له دې ډیزاین څخه بهر وساتئ

شخصي لاسرسی او انټرنېټ لاسرسی جلا پلانونه دي. ULA پول کولای شي د تونل له لارې VPC کار بوجونو ته ورسیږي کله چې لار او لېږد سره موافق شي، او هماغه پول د VPC له لارې عامه انټرنېټ ته هېڅ لار نه لري، ځکه چې کلاوډ ګېټوې د تونل خپل سري سرچینه د خپلې په توګه نه مني.

که کړندو ته د انټرنېټ وتل هم اړین وي، د هغې لپاره ملاتړ شوی د پتو او لارې ډیزاین پلان کړئ، هغه له شخصي پول څخه خپلواک وساتئ او دواړه لارې جلا ازموئ. یوه کار کوونکې لار د بلې په اړه هېڅ نه وایي، او هغه ډیزاین چې دواړه سره ګډوي په داسې ډول ناکامېږي چې مات شوی تونل ښکاري.