IPv6 sobre VPN: um prefixo delegado não é um pool de endereços

No mesmo dia chegam dois pedidos: um portátil precisa de IPv6 pelo túnel e um site pequeno quer IPv6 para os dispositivos atrás do seu roteador. Ambos recebem uma resposta com um endereço, e o segundo passa depois uma semana a falhar. Os papéis diferem, e também os mecanismos, a configuração e a verificação que prova que funciona. Este guia mantém os dois separados.

Passo um: decida qual papel está a servir

Um único host precisa de um endereço na sua interface de túnel, com uma rota para o lado remoto e nada a jusante para numerar. Um roteador atrás do túnel precisa de uma rede inteira que possa distribuir, mais uma rota no lado remoto que devolva esses endereços para ele. O que está atrás do túnel determina cada decisão seguinte.

Responda a essa pergunta antes de abrir qualquer configuração. Tudo o que vem depois deste passo depende da resposta que deu.

Passo dois: atribuição de endereços para um único host

Atribua o endereço do túnel, confirme o comprimento de prefixo que o produto espera e verifique se o cliente instala uma rota para o intervalo remoto em vez de o enviar para a gateway predefinida local. Um /128 numa interface de túnel é normal para uma ligação ponto a ponto, enquanto um /64 ali reivindica uma rede que ninguém delegou. Duas saídas resolvem a questão: a tabela de endereços e a tabela de rotas, lidas nos dois extremos. Leia-as em conjunto, porque uma rota a apontar para a interface errada é o erro mais comum neste passo.

Verifique com as tabelas de endereços e de rotas nos dois extremos e depois envie um pedido. Se o pedido sair corretamente e nada voltar, a falha está na rota do lado remoto e não no endereço do cliente.

Passo três: delegação para um roteador atrás do túnel

A delegação de prefixo é um mecanismo separado da atribuição de endereços, com o seu próprio pedido e o seu próprio arrendamento. O lado que delega tem de estar configurado para entregar um prefixo suficientemente grande para a rede a jusante, e o roteador requerente tem de numerar a sua interface interior a partir desse prefixo.

Não assuma que o pool que serve clientes móveis pode delegar. Muitos produtos VPN atribuem endereços individuais e não têm qualquer papel de delegação, e um prefixo do fornecedor que chega à sua margem não é passado automaticamente a um par. Registe que papel serve cada pool, porque os dois são configurados em locais diferentes.

Passo quatro: torne a rota de retorno explícita

Os dois extremos têm de concordar qual par transporta qual prefixo. No lado remoto, acrescente a rota para a rede delegada que aponta para o túnel e confirme que nenhum intervalo sobreposto já a reivindica.

Um prefixo válido sem rota de retorno produz um plano de endereçamento arrumado e nenhuma conetividade. Uma rota sem regra de acesso expõe mais do site do que o pretendido, por isso emparelhe as duas alterações na mesma janela e mantenha um estado meio aplicado longe dos utilizadores.

Passo cinco: verifique de trás do roteador

Execute as verificações por ordem: o endereço da interface de túnel no cliente, o prefixo delegado na interface interior, a rota do lado remoto para esse prefixo e, por fim, um pedido a partir de um dispositivo atrás do roteador. Use um destino que controle, para que um bloqueio silencioso se distinga de uma rota em falta. Qualquer passo que o surpreenda é o que tem de ser corrigido antes de continuar.

Faça a última verificação duas vezes, uma a partir do próprio roteador e outra a partir de um dispositivo atrás dele. Um roteador que alcança o destino enquanto os seus clientes não conseguem é um problema de delegação ou de encaminhamento, não um problema a montante.

Reversão

Guarde a configuração de endereçamento anterior antes da alteração e registe qual dos dois mecanismos alterou. Remover um prefixo delegado sem remover a rota deixa um buraco negro, e remover a rota sem o prefixo deixa endereços que nada consegue alcançar. Registe as duas alterações em separado, porque desfazer uma enquanto a outra se mantém torna um site inacessível apenas numa direção.

Se um produto se revelar incapaz de suportar o papel de que precisa, pare e altere o desenho em vez de esticar um campo do cliente para conter um intervalo para o qual nunca foi pensado. Um caso de suporte respondido com o mecanismo errado custa mais do que a alteração de desenho teria custado.