Como escrever um endpoint IPv6 numa configuração VPN

Um endereço IPv6 está cheio de dois pontos, e um campo de endpoint que também leva uma porta precisa de uma forma de marcar onde o endereço termina. Se errar, o cliente ou recusa analisar o perfil ou liga-se silenciosamente à coisa errada. A forma correta não é universal: depende de o campo conter um endereço com porta, um endereço simples ou um nome de anfitrião. Percorra o guia pela ordem, porque uma correção de sintaxe e uma correção de acessibilidade não se parecem nada assim que começa a ler a saída do cliente.

Verifique o tipo de campo antes de escrever um endereço

Por exemplo, WireGuard Endpoint campo com uma porta, o literal IPv6 usa parênteses retos à volta do endereço, como em [2001:db8::10]:51820. O prefixo de documentação desse exemplo não é um servidor público, e os parênteses fazem parte da sintaxe, não do endereço.

Outros formatos têm as suas regras. Um URI pode transportar um literal IPv6 entre parênteses, mas uma configuração VPN não é necessariamente um URI. Um cliente com caixas separadas de endereço e porta pode esperar o literal sozinho numa caixa e o número na outra, e acrescentar parênteses aí é tão errado como omiti-los num campo combinado.

Ponha parênteses no literal quando a porta partilha o campo

A regra a reter é simples: os parênteses aparecem quando uma porta vem a seguir na mesma cadeia. Não aparecem quando o endereço está sozinho num campo sem porta.

Copiar a cadeia completa de endpoint de um protocolo para cada cliente é a causa habitual deste erro. OpenVPN, os perfis IPsec e as interfaces de aplicação documentam cada um a sua sintaxe, e uma cadeia correta para um pode ser rejeitada ou mal interpretada por outro. Leia a documentação do próprio cliente para o campo que edita, e guarde o prefixo de documentação ou o endereço de exemplo num comentário para que ninguém o envie como anfitrião real. Quando o manual dá duas formas, use a que corresponde ao tipo de campo à sua frente.

Separe os campos de endereço e de porta

Quando o cliente lhe dá duas caixas, ponha o endereço numa e a porta na outra. Uma forma combinada colada na caixa de endereço produz um erro de análise ou, pior, um endereço que se resolve em algo indesejado.

Verifique espaços no fim e caracteres invisíveis quando um valor parece correto. Um endereço copiado costuma trazer um espaço fixo ou um caractere de largura zero que o cliente não consegue analisar e que o ecrã não mostra. Volte a escrever o valor em vez de o colar quando o erro não faz sentido.

Trate os identificadores de zona com cuidado

Um literal de ligação local pode exigir um identificador de zona ligado a uma interface, escrito com um sinal de percentagem e o nome da interface. Essa forma é válida no anfitrião que possui a interface, e não substitui um endpoint remoto acessível em geral.

O âmbito e o encaminhamento continuam a importar depois de uma análise bem-sucedida. Um endereço qualificado por zona que o cliente aceita pode não ter qualquer caminho a partir da máquina, e um endpoint remoto alcançado pela internet não deve depender de forma alguma de uma zona local. Decida por que interface o pacote deve sair antes de escrever a zona, não depois de o aperto de mão falhar.

Verifique a análise e depois a acessibilidade

Separe explicitamente as duas falhas. Um endereço malformado produz um erro de análise ou uma rejeição imediata, enquanto um endpoint bem formado que recusa a autenticação ou nunca responde é um problema diferente com uma solução diferente.

Depois de uma correção suportada, confirme que o túnel negocia e que a aplicação pretendida funciona. Um aperto de mão sozinho não prova o caminho, e um ping ao endpoint não prova o túnel. Quando o operador fornece um nome de anfitrião, mantenha o nome suportado e as suas verificações de identidade em vez de o substituir por um endereço numérico encontrado noutro sítio.

Registe o campo exato, o valor que usou e a resposta do cliente na nota de alteração. Caso contrário, a próxima pessoa que editar o perfil repetirá a experiência dos parênteses, e a resposta já está no seu ticket.