IPv6 cez VPN: delegovaný prefix nie je fond adries

V ten istý deň prídu dve žiadosti: notebook potrebuje IPv6 cez tunel a malá lokalita chce IPv6 pre zariadenia za svojím routerom. Obe dostanú odpoveď v podobe adresy a druhá potom strávi týždeň zlyhávaním. Role sa líšia, rovnako ako mechanizmy, konfigurácia a kontrola, ktorá dokazuje, že to funguje. Táto príručka ich drží oddelene.

Krok prvý: rozhodnite, ktorej role slúžite

Jeden hostiteľ potrebuje jednu adresu na svojom tunelovom rozhraní, trasu na vzdialenú stranu a nič nižšie, čo by sa malo číslovať. Router za tunelom potrebuje celú sieť, ktorú môže rozdávať, plus trasu na vzdialenej strane, ktorá tie adresy vracia k nemu. To, čo je za tunelom, určuje každé ďalšie rozhodnutie.

Odpovedzte na túto otázku predtým, než otvoríte akúkoľvek konfiguráciu. Všetko po tomto kroku závisí od toho, akú odpoveď ste dali.

Krok druhý: pridelenie adries pre jedného hostiteľa

Prideľte adresu tunela, potvrďte dĺžku prefixu, ktorú produkt očakáva, a skontrolujte, či klient nainštaluje trasu pre vzdialený rozsah, namiesto toho aby ju posielal na miestnu predvolenú bránu. /128 na tunelovom rozhraní je pre spojenie bod-bod normálne, zatiaľ čo /64 tam nárokuje sieť, ktorú nikto nedelegoval. Dva výstupy otázku vyriešia: tabuľka adries a tabuľka trás, prečítané na oboch koncoch. Čítajte ich spolu, pretože trasa ukazujúca na nesprávne rozhranie je v tomto kroku najčastejšou chybou.

Overte pomocou tabuliek adries a trás na oboch koncoch a potom pošlite jednu žiadosť. Ak žiadosť odíde správne a nič sa nevráti, porucha je v trase vzdialenej strany, nie v adrese klienta.

Krok tretí: delegácia pre router za tunelom

Delegácia prefixu je samostatný mechanizmus od prideľovania adries, s vlastnou žiadosťou a vlastným nájmom. Delegujúca strana musí byť nakonfigurovaná tak, aby vydala prefix dostatočne veľký pre sieť nižšie, a žiadajúci router musí očíslovať svoje vnútorné rozhranie z tohto prefixu.

Nepredpokladajte, že fond, ktorý obsluhuje mobilných klientov, dokáže delegovať. Mnohé produkty VPN prideľujú jednotlivé adresy a nemajú vôbec žiadnu rolu delegácie, a prefix poskytovateľa, ktorý dorazí na váš okraj, sa automaticky neodovzdá partnerovi. Zapíšte, ktorej role každý fond slúži, pretože oba sa konfigurujú na rôznych miestach.

Krok štvrtý: urobte spätnú trasu explicitnou

Oba konce sa musia zhodnúť, ktorý partner nesie ktorý prefix. Na vzdialenej strane pridajte trasu pre delegovanú sieť ukazujúcu na tunel a potvrďte, že si ju žiadny prekrývajúci sa rozsah už nenárokuje.

Platný prefix bez spätnej trasy dáva úhľadný plán adresovania a žiadnu konektivitu. Trasa bez prístupového pravidla vystavuje viac lokality, než sa zamýšľalo, preto obe zmeny spojte v tom istom okne a na polovicu aplikovaný stav držte od používateľov ďalej.

Krok piaty: overte zpoza routera

Vykonajte kontroly v poradí: adresa tunelového rozhrania na klientovi, delegovaný prefix na vnútornom rozhraní, trasa vzdialenej strany k tomuto prefixu a nakoniec žiadosť zo zariadenia za routerom. Použite cieľ, ktorý ovládate, aby sa tiché blokovanie dalo odlíšiť od chýbajúcej trasy. Nech vás prekvapí ktorýkoľvek krok, práve ten treba opraviť predtým, než pôjdete ďalej.

Poslednú kontrolu urobte dvakrát, raz zo samotného routera a raz zo zariadenia za ním. Router, ktorý sa dostane k cieľu, zatiaľ čo jeho klienti nie, je problém delegácie alebo preposielania, nie problém vyššie po prúde.

Vrátenie zmien

Pred zmenou si uložte predchádzajúcu konfiguráciu adresovania a poznamenajte, ktorý z dvoch mechanizmov ste zmenili. Odobratie delegovaného prefixu bez odobratia trasy necháva čiernu dieru a odobratie trasy bez prefixu necháva adresy, ku ktorým sa nič nedostane. Poznamenajte obe zmeny oddelene, pretože vrátenie jednej pri ponechaní druhej robí lokalitu nedostupnou len v jednom smere.

Ak sa ukáže, že produkt nepodporuje rolu, ktorú potrebujete, zastavte sa a zmeňte návrh, namiesto naťahovania poľa klienta, aby sa doň zmestil rozsah, pre ktorý nikdy nebol určený. Prípad podpory zodpovedaný nesprávnym mechanizmom stojí viac než zmena návrhu.