ایا د IPv6 ترافیک باید د VPN له لارې تېر شي یا مستقیم؟
پریکړه وکړئ چې ::/0 د تونل دننه دی که نه، په درې شرطونو: د وتنې ملاتړ، د پای ټکي رسېدنه او یوازې سیمهای شبکه.
تېره میاشت دوو کسانو زما څخه متضادې پایلې وغوښتې: یو غوښتل چې IPv6 د VPN له خوا پوښل شي، بل غوښتل چې د دفتر چاپګر کار ته دوام ورکړي. یوازې یو مسیر ::/0 نشي کولی دواړه په خپله برابري. آیا دا مسیر د تونل دننه ځای لري، په درې شرطونو پورې اړه لري، او لومړی یې د ډېرو سوداګریزو وتنو لپاره ردوي. که وتنه IPv6 ونه لېږدوي، د پیشفرض مسیر هلته لېږل ستاسو ترافیک په داسې تونل کې پټوي چې د لېږلو ځای نلري.
درې شرطونه ځواب ټاکي
پیشفرض مسیر یو کرښه ده، ::/0، او له هر هغه IPv6 منزل سره سمون لري چې ډېر ځانګړی مسیر نلري (RFC 4291). نصبول یې اسانه دي. دا چې باید وکړئ که نه، په درې شرطونو تمامېږي.
لومړی شرط: هغه وتنه چې تړون ورسره کوئ، کاري IPv6 لري او د لېږد لپاره چمتو ده. دویم شرط: ستاسو کلاینټ کولی شي د تونل پای ټکي ته لاره وساتي، کوم چې معمولاً د هغې سیمې دننه وي چې تاسو یې د مسیر کولو په حال کې یاست. دریم شرط: تاسو کولی شئ هغه سیمهای IPv6 منزلونه ونوموئ چې باید د تونل څخه بهر پاتې شي.
هر شرط په خپله طریقه ناکامېږي، نو ځکه اټکل کول یوه بشپړه ماسپښین اخلي. ناکام لومړی شرط تاسو ته غلې کېدل او یو سم ښکارېدونکی مسیر جدول درکوي. ناکام دویم شرط لاس ورکول د پیل څخه څو ثانیې وروسته وژني. ناکام دریم شرط یو کاري تونل او د چاپګر تر څنګ یو ناخوښ همکار پرېږدي.
| What you see | Decision |
|---|---|
| Exit answers IPv6 probes, no local IPv6 devices to protect | Route ::/0 into the tunnel |
| Exit answers IPv6 probes, printer or NAS reachable by a global address | Route ::/0, then give those prefixes a route of their own |
| Exit is IPv4-only inside the tunnel | Do not route ::/0; block IPv6 on the client |
Endpoint is reached over IPv6 and sits inside ::/0 | Install a host route for the endpoint first |
ایا وتنه واقعاً IPv6 لېږدوي؟
د IPv6 پتې لرونکی د تونل انټرفېس د بل اړخ په اړه هېڅ نه ثابتوي. ډېر سوداګریز پروفایلونه له دننه یوازې IPv4 دي: سرور تاسو ته v4 پته درکوي او نور هر څه غورځوي. پر دې باندې د AllowedIPs څخه یو پیشفرض مسیر کېښودئ او کرنل به په خوښۍ سره IPv6 هغه انټرفېس ته ولېږي چې سیال یې هېڅکله نه ویني.
تر هغې چې تونل پورته دی، د کلاینټ څخه ازموینه وکړئ. ping -6 -c 3 2001:4860:4860::8888 او ip -6 route get 2001:4860:4860::8888 بېلابېلو پوښتنو ځواب ورکوي: چې ځواب بېرته راځي که نه، او چې کرنل کوم وسیله غوره کړې. کله چې دویم ستاسو تونل ونوموي او لومړی هېڅ ونه ګرځوي، ستونزه په وتنه کې ده، نه په مسیر کې.
که تاسو پخپله وتنه چلوئ، د کلاینټ ازموینه کېدای شي بریالۍ شي او لاره بیا هم بنبست ته ورسېږي. تایید کړئ چې په ګېټوې کې net.ipv6.conf.all.forwarding=1 فعال دی او چې د هغې فایرول د تونل څخه لېږل شوي پاکټونه مني. په سمه توګه مسیر شوی پاکټ هغې وتنې ته چې د لېږد انکار کوي، د کلاینټ له اړخه په ټینګه د مسیر کولو د غلطۍ په څېر ښکاري.
ایا کلاینټ کولی شي خپله لاره پای ټکي ته وساتي؟
دا هغه قضیه ده چې ما په یو لیپټاپ کې ونیول چې یوازې IPv6 WireGuard پای ټکی یې درلود. د پای ټکي پته یوه عادي نړیواله پته ده، نو ::/0 دننه راځي. ټول پریفکس انټرفېس ته مسیر کړئ او د لاس ورکولو پاکټونه به پخپله هغه تونل ته وځغلوي چې لا یې د جوړولو هڅه کوي. تونل هېڅکله نه پورته کېږي، او د کلاینټ په وتنه کې هېڅ نه وایي چې ولې.
wg-quick په لینکس کې دا سمبالوي. له AllowedIPs څخه مسیرونه اخلي، په خپل جدول کې یې ځای پرځای کوي او یوه پالیسي قاعده ورزیاتوي تر څو پای ټکي ته ترافیک لومړی د اصلي جدول له لارې حل شي: هغه suppress_prefixlength 0 قاعده چې په ip -6 rule کې یې پیدا کوئ. نو ځکه wg-quick up هلته بریالی کېږي چېرې چې په لاس لیکل شوی ip -6 route add default dev wg0 تاسو پرې کوي.
دواړه حالتونه د ip -6 route get <endpoint-v6> په مرسته وګورئ، د تونل له پورته کولو مخکې او وروسته. که ځواب ستاسو د تونل وسیلې ته بدل شي، تاسو هغه لاره لرې کړې چې تونل ته اړینه وه. کله چې مسیرونه پخپله لیکئ، د اصلي ګېټوې له لارې پای ټکي ته یو هوسټ مسیر ورزیات کړئ، یا د IPv4 له لارې پای ټکي ته ووصل شئ او IPv6 پیلوډ ته پرېږدئ.
څه باید د تونل څخه بهر پاتې شي؟
ډېر ځانګړي مسیرونه پیشفرض ته ماتې ورکوي، نو پر لینک پریفکس یا د خپل مسیر لرونکې ULA سیمه پرته له اضافي هڅې کار ته دوام ورکوي. دا هغه غلې دلیل دی چې ولې ډېر بشپړ-تونل IPv4 ترتیبات ژوندي پاتې کېږي: د LAN پریفکسونه له پیشفرض څخه ډېر ځانګړي دي او هېڅکله تونل ته نه ننوځي.
دا هغه وخت ماتېږي چې یوه سیمهای وسیله د نړیوالې پتې له لارې رسېدونکې وي، کوم چې د یوې چاپګر لپاره نورمال دی چې هماغه رایټر ورته عامه پریفکس ورکړی، یا NAS یا ټلویزیون. هغه پتې له ::/0 سره سمون لري او له بل هېڅ سره نه، نو دوی له نورو ټولو سره تونل ته ځي او ورکېږي.
د پروتوکول له مخې نه، د منزل له مخې پریکړه وکړئ. که دوې یا درې سیمهای کوربانه مهمې وي، د دوی پریفکسونو ته د فزیکي انټرفېس له لارې د وتلو مسیر ورکړئ، یا یې له خبرو اترو شوي سیټ څخه لرې کړئ. که لیست نور هم لوی شي، صادق ځواب د لیکلي استثنا لیست سره IPv6 لپاره وویشل شوی تونل دی، نه هغه پیشفرض چې تاسو یې دوامداره پیچ کوئ.
که ځواب نه وي، بلاک یې کړئ
IPv6 پرته له مسیر پرېښودل هغه له یوازیتوب پرېښودلو سره یو ډول نه دي. هغه کوربان چې کاري IPv6 پیشفرض لري، هغه کاروي څو چې تونل IPv4 لېږدوي، نو ترافیک د VPN تر څنګ وتل کوي او هر هغه خدمت چې IPv6 ته لومړیتوب ورکوي ستاسو ریښتینې پته ویني. دا یوه تېښته ده، نه وویشل شوی تونل.
یو غوره کړئ او ولیکئ چې کوم یې غوره کړ. پیشفرض مسیر کړئ او پورتنۍ جوړجاړي ومنئ، یا IPv6 د تونل تر بشپړېدو پورې غیر فعال کړئ. د AllowedIPs څخه پریفکس پرېښودل یوازې کافي نه دي، ځکه چې عملیاتي سیستم خپل پیشفرض ساتي. پر لینکس بېادبه نسخه sysctl -w net.ipv6.conf.all.disable_ipv6=1 ده؛ ډېره دقیقه نسخه IPv6 د فایرول قاعدې سره د تونل څخه بهر غورځوي. د تلیفون کلاینټونه یو څرګند د IPv6 بلاکولو ټوګل لري چې هماغه کار کوي.
د تېښتې په څېر یې تایید کړئ
تونل پورته کړئ او حالت ولولئ، د ټوګل باور پر ځای. ip -6 route show default باید یو پیشفرض وښیي، او ip -6 route get د خپل LAN څخه بهر منزل لپاره باید د تونل وسیله ونوموي. دواړه د اړیکې پرېکېدو وروسته تکرار کړئ: هغه پیشفرض چې له تونل څخه ژوندی پاتې کېږي هغه غلطي ده چې تاسو یې لټول.
بیا بل لوري ته ازموینه وکړئ. د سیمهای شبکې له یو کوربان څخه، کلاینټ ته د هغه سیمهای IPv6 پتې له لارې ورسېږئ. که دا کار کول بند کړي، دریم شرط هېڅکله نه و بشپړ شوی، هر څه چې هغه وخت مسیر جدول ویلي وو.
پایلې هغه ځای ولیکئ چې بل کس به یې ومومي: کوم پریفکسونه سیمهای پاتې کېږي، ولې، او له اړیکې پرېکېدو وروسته کلاینټ څه کوي. په runbook کې دوه کرښې بل انجینر له نیمې شپې د پای ټکي حلقې بیا کشف کولو څخه ژغوري.