IPv6 iyada oo loo marayo tunnel OpenVPN: maritaan ku saabsan router-ka guriga

Laptop-ku wuxuu leeyahay cinwaan IPv6, tunnel-ku wuxuu dul saaran yahay IPv4, haddana imtixaan kasta oo IPv6 ah wuu guuldareystaa. Ama ka sii xun: imtixaanku wuu guuleystaa oo taraafikadu waxay ka baxday wadada bixiyaha iyada oo aan waligeed gelin tunnel-ka. Labada natiijo waxay dib ugu noqdaan hal go'aan oo maqan: qofna siin maayo router-ka prefix uu kuugu jiheeyo macmiilka. Haddii aad ka socoto wadada macmiilka ilaa banaanka, waxaad ogaan doontaa qaybta maqan.

Ka bilow halka macmiilku fadhiyo

Fiiri macmiilka ka hor inta aadan taaban server-ka. ip -6 addr waa inuu muujiyaa cinwaanka tunnel-ka oo ka yimid barkada, ip -6 route na waa inuu muujiyaa prefix-ka la riixay ee u jeedda qalabka tunnel-ka. Marka cinwaanku jiro laakiin wadadu maqan tahay, riixidda ayaa maqan ama macmiilku wuu iska indhatiray. Marka labaduba maqan yihiin, server-ku waxba ma qoondeyn.

Kadib hubi waxa macmiilku u malaynayo dunida dibadda. Wadada caadiga ah ee tunnel-ka waxay sheegataa dhammaan taraafikada IPv6, halka wadada 2000::/3 ay sheegato oo kaliya unicast caalami ah. Labaduba way saxnaan karaan, waxayna ka jawaabaan su'aalo kala duwan oo ku saabsan daadinta.

Macmiil aan lahayn wax wadada caadiga ah ee IPv6 ku fashilmaa imtixaan kasta oo dadweyne inkastoo tunnel-ka laftiisu si buuxda u caafimaad qabo. Taasi waa banaan yar oo siyaasad ah, ma aha tunnel jaban.

Hubi barkada uu server-ku runtii u jiheyn karo

Server-ku wuxuu wax ka qoondeyn karaa oo kaliya prefix uu runtii xakameeyo. Haddii bixiyuhu u wakiisho /56, u kaydi hal /64 tunnel-ka oo inta kale u daa LAN-ka. Meesha bixiyuhu ku bixiyo WAN-ka hal /64 oo aan wax kale u jiheyn, u daa prefix-ka LAN oo tunnel-ka sii yar oo gaar ah oo maxalli ah, adigoo aqbalaya in macmiilku aanu lahaan doonin bixin caalami ah.

Barkada iyo riixidda way wada socdaan. server-ipv6 2001:db8:80:10::/64 wuxuu qoondeeyaa cinwaanno, push "route-ipv6 2000::/3" na wuxuu u sheegaa macmiilka waxa tunnel-ka loo diro. Riixidda 2000::/3 waxay daboolaysaa unicast caalami oo waxay ka tagtaa xadka link-local iyo multicast tunnel-ka dibaddiisa.

Ku qor prefix-ka la doortay diiwaanka fulinta. Kan xiga ee beddela gudbinta bixiyaha waa inuu ogaadaa /64 ka uu tunnel-ku horey u qabsaday.

Daar gudbinta qoyska labaad

Gudbinta IPv4 macneheedu ma aha gudbinta IPv6. Deji net.ipv6.conf.all.forwarding=1 oo ka tarjum wax kasta oo siyaasadda FORWARD ee IPv4 horey u ogolaatay. Router-ka silsiladdiisa FORWARD si caadi ah wax tuurto, koox xeerar ah oo maqan waxay u ekaanaysaa sida tunnel dhintay.

Gacan-qabsigu wuu guuleystaa, macmiilku cinwaan buu helaa, waxna dib uma soo noqdaan. Ku dar xeerar labada jiho iyo lugta WAN, maxaa yeelay tunnel gaara LAN laakiin aan gaarin internet-ka wuu ku fashilmaa imtixaanka saddexaad. Isku day guuldareystay kadib fiiri tiriyayaasha silsiladda, maxaa yeelay xeer waligiis aan isku dhicin waa mushkilad kale marka loo eego mid isku dhacay oo tuuray.

ip6tables -A FORWARD -i br0 -o tun0 -j ACCEPT
ip6tables -A FORWARD -i tun0 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i tun0 -o wan0 -j ACCEPT

Hal saameyn dhinac ah waxay qabataa dadka ugu dambeyn tunnel-ka eedeeya. Gudbinta daaran waxay kernel-ka ka dhigtaa inuu dhaafo habaynta cinwaanka iyada oo loo marayo Router Advertisement haddii aanan si kale loo sheegin, wadada caadiga ah ee sidaas lagu bartayna way la libdhataa. Ama ku xidh wado caadi ah oo cad interface-ka WAN, ama halkaas si ula kac ah accept_ra ugu dhig 2. Isbeddel kasta kadib, xaqiiji in router-ku weli leeyahay wado IPv6 ah oo la isticmaali karo banaanka ka hor inta aadan dib u imtixaanin macmiilka.

Ka jawaab ogaanshaha deriska marka qaybta sare aanay jiheyn

Qalabka qaybta sare mararka qaarkood waxay u arkaan /64 la wakiishay inuu ka tirsan yahay isku xirkooda oo waxay diidaan inay u jiheeyaan wax sub-prefix ah sanduuqa VPN. Marka taas dhacdo, wax waa inay si gooni gooni ah uga jawaabaan codsiyada deriska ee cinwaan kasta oo macmiil.

OpenVPN wuxuu u soo bandhigaa cinwaanka la qoondeeyay hook client-connect, sidaas darteed gelitaannada waxay raaci karaan barkada dhabta ah halkii ay ka raaci lahaayeen liis gacan lagu hayo. Hook-ku wuxuu ku darayaa ip -6 neigh add proxy $ifconfig_pool_remote_ip6 dev eth0, hook client-disconnect oo u dhigmaana wuu ka saaraa. Ka saarista la'aanteed shaxda proxy way duugoobtaa macmiil dambe-na wuxuu dhaxli karaa gelitaan cinwaan uusan waligiis helin. Xaqiiji xaaladda ip -6 neigh show proxy.

U tixgeli proxy-ga sidii xal ka-wareeg ah. Wado taagan oo loogu talagalay /64 tunnel-ka oo u jeedda router-ka ayaa ka badbaada beddelka macmiilka oo aan u baahnayn wax hook shell oo mudnaan leh.

Raac wadada banaanka, tallaabo tallaabo

Banaanka ku imtixaan saddex tallaabo: marka hore cinwaanka tunnel-ka router-ka, kadib martigeliyaha LAN, saddexaadna meel dadweyne iyada oo loo marayo traceroute6. Barkada waxaa caddeeya tan koowaad, gudbinta iyo darbiga dabka LAN tan labaad, wadada dib u noqoshada ee qaybta sare-na tan saddexaad. Guuldarro kastaa waxay baaritaanka ku koobtaa hal qalab halkii ay dib u furi lahayd naqshadda oo dhan.

La soco MTU-ga tunnel-ka, maxaa yeelay router-yada IPv6 ee wadada kuma kala goyn doonaan adiga. MTU aad u weyn wuxuu u muuqdaa khalad packet-too-big iyo TLS istaagay halkii uu ahaan lahaa guuldarro nadiif ah. Si cad u dhig oo ku imtixaan culeys u dhow xadka.