Ako zapísať koncový bod IPv6 v konfigurácii VPN

Adresa IPv6 je plná dvojbodiek a pole koncového bodu, ktoré nesie aj port, potrebuje spôsob, ako označiť, kde adresa končí. Ak to pokazíte, klient buď odmietne profil analyzovať, alebo sa potichu pripojí k nesprávnej veci. Správna forma nie je univerzálna: závisí od toho, či pole obsahuje adresu s portom, holú adresu alebo názov hostiteľa. Prejdite runbook po poradí, pretože oprava syntaxe a oprava dostupnosti vyzerajú úplne inak, keď začnete čítať výstup klienta.

Skontrolujte typ poľa, skôr než napíšete adresu

Napríklad, WireGuard Endpoint pole s portom používa literál IPv6 hranaté zátvorky okolo adresy, ako v [2001:db8::10]:51820. Dokumentačný prefix v tomto príklade nie je verejný server a zátvorky sú súčasťou syntaxe, nie adresy.

Iné formáty majú vlastné pravidlá. URI môže niesť literál IPv6 v zátvorkách, ale konfigurácia VPN nemusí byť URI. Klient so samostatnými poľami pre adresu a port môže v jednom poli očakávať iba literál a v druhom číslo, a pridať tam zátvorky je rovnako nesprávne ako ich vynechať v zlúčenom poli.

Dajte literál do zátvoriek, keď port zdieľa to isté pole

Pravidlo, ktoré sa oplatí zapamätať, je jednoduché: zátvorky sa objavia, keď v tom istom reťazci nasleduje port. Neobjavia sa, keď adresa stojí sama v poli bez portu.

Kopírovanie celého reťazca koncového bodu jedného protokolu do každého klienta je obvyklou príčinou tejto chyby. OpenVPN, profily IPsec a rozhrania aplikácií každý dokumentujú svoju syntax a reťazec správny pre jeden môže iný odmietnuť alebo nesprávne vyložiť. Čítajte vlastnú dokumentáciu klienta pre pole, ktoré upravujete, a držte dokumentačný prefix alebo ukážkovú adresu v komentári, aby ju nikto neposlal ako skutočného hostiteľa. Keď návod uvádza dve formy, použite tú, ktorá zodpovedá typu poľa pred vami.

Oddeľte pole adresy a portu

Keď vám klient dá dve polia, dajte adresu do jedného a port do druhého. Zlúčená forma vložená do poľa adresy vyvolá chybu analýzy alebo, čo je horšie, adresu, ktorá sa preloží na niečo nechcené.

Skontrolujte koncové medzery a neviditeľné znaky, keď hodnota vyzerá správne. Skopírovaná adresa často nesie nedeliteľnú medzeru alebo znak nulovej šírky, ktorý klient nedokáže analyzovať a obrazovka ho nezobrazí. Napíšte hodnotu znova namiesto vkladania, keď chyba nedáva zmysel.

Zaobchádzajte s identifikátormi zóny opatrne

Literál lokálneho spojenia môže vyžadovať identifikátor zóny viazaný na rozhranie, zapísaný znakom percenta a názvom rozhrania. Táto forma platí na hostiteľovi, ktorému rozhranie patrí, a nenahrádza všeobecne dostupný vzdialený koncový bod.

Rozsah a smerovanie sú dôležité aj po úspešnej analýze. Adresa kvalifikovaná zónou, ktorú klient prijme, nemusí mať zo stroja žiadnu cestu, a vzdialený koncový bod dosiahnutý cez internet by nemal vôbec závisieť od miestnej zóny. Rozhodnite, ktorým rozhraním má paket odísť, skôr než napíšete zónu, nie až po neúspešnom handshaku.

Overte analýzu, potom dostupnosť

Jasne oddeľte obe zlyhania. Poškodená adresa vyvolá chybu analýzy alebo okamžité odmietnutie, zatiaľ čo dobre vytvorený koncový bod, ktorý odmieta autentifikáciu alebo nikdy neodpovedá, je iný problém s iným riešením.

Po podporovanej oprave overte, že tunel vyjedná a že zamýšľaná aplikácia funguje. Samotný handshake cestu nedokazuje a ping na koncový bod nedokazuje tunel. Keď operátor dodá názov hostiteľa, zachovajte podporované meno a jeho kontroly identity, namiesto toho, aby ste ich nahradili číselnou adresou nájdenou inde.

Zapíšte presné pole, použitú hodnotu a odpoveď klienta do poznámky k zmene. Inak ďalší človek, ktorý bude profil upravovať, zopakuje experiment so zátvorkami, a odpoveď už je vo vašom tikete.