Parashtesa e degës IPv6: iroute-ipv6 apo route-ipv6 në server?

Dy direktiva me emra pothuajse të njëjtë shfaqen në çdo shembull që funksionon, dhe kopjimi i njërës pa tjetrën prodhon një tunel që duket i saktë dhe e hedh parashtesën e degës në heshtje. Ato bëjnë punë të ndryshme në anë të ndryshme të të njëjtit kufi: njëra i mëson kernelit të serverit ku ndodhet një parashtesë, dhe tjetra i mëson OpenVPN cili klient i autentikuar e mban atë. Nëse të dyja janë të sakta, parashtesa rrjedh; nëse vetëm njëra është e saktë, paketat kanë një rrugë por nuk kanë pronar.

Dy direktiva, dy punë të ndryshme

route-ipv6 është një instalim i zakonshëm rrugë: serveri shton një rrugë kerneli që e drejton parashtesën në ndërfaqen e tunelit të tij. iroute-ipv6 i përket një konteksti specifik për klientin dhe deklaron pronësi të brendshme, kështu që daemoni e di se trafiku për atë parashtesë duhet të dërgohet te një klient i caktuar dhe jo te cilido peer që një rrugë kerneli ndodh ta emërtojë.

Njëra ka të bëjë me tabelën e përcjelljes së kernelit, tjetra me modelin e brendshëm të rrugëzimit të daemonit. Mbajtja e tyre të ndara shpjegon pse një konfigurim që duket i plotë mund ta hedhë gjithsesi parashtesën. Shpjegon gjithashtu pse i njëjti rrjet shfaqet dy herë në çdo shembull që funksionon. Asnjë rresht nuk është i tepërt.

Në konfigurimin tradicional të hapësirës së përdoruesit të dyja nevojiten dhe plotësojnë njëra-tjetrën. Vetëm një rrugë kerneli e lë daemonin pa mundësi të zgjedhë një peer. Vetëm një iroute e lë kernelin pa rrugë drejt tunelit. Këtu vjen edhe pjesa më e madhe e ngatërresës për skedarët për çdo klient: skedari nuk është një zë i tabelës së rrugëve, dhe zëri i rrugës nuk është një deklaratë pronësie.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Ku hyn secila

Rruga shkon në konfigurimin e menaxhuar të serverit, ku zbatohet për atë proces serveri. iroute shkon në skedarin specifik të klientit, të emërtuar sipas identitetit të autentikuar të pajisjes së degës.

Një emër skedari që nuk përputhet me identitetin efektiv nuk lexohet kurrë, dhe simptoma është e njëjtë me një iroute që mungon. Kontrolloni identitetin që autentikoi serveri, pastaj kontrolloni emrin e skedarit karakter për karakter.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Mbajini të ndara grupin dhe parashtesën e degës, sepse mbivendosja e tyre krijon një enigmë që asnjë direktivë nuk mund ta zgjidhë.

Çfarë i duhet një klienti tjetër

Një klienti të dytë që duhet ta arrijë atë degë i duhet një shpallje, jo pronësi. Shtyjeni parashtesën te klientët që synoni, në kontekstin e klientit ose të grupit që i përshtatet konfigurimit tuaj.

Mos e dërgoni te vetë dega, sepse ajo pajisje e ka tashmë parashtesën si rrjet të lidhur.

Dërgimi tek të gjithë është një zgjedhje me pasoja: çdo klient atëherë beson se dega është e arritshme përmes tunelit, përfshirë klientët të cilëve nuk keni pasur ndërmend t'ua jepni atë akses. Shpallja është në praktikë një vendim aksesi, edhe pse direktiva duket si punë hidraulike. referenca e opsioneve të serverit dokumenton iroute-ipv6 si pronësi specifike për klientin, dhe ky është dallimi që ia vlen të mbahet.

Rruga e kthimit në pajisjen e degës

Pronësia ndihmon vetëm nëse dega i përcjell paketat dhe LAN-i i saj di si të përgjigjet. Aktivizoni përcjelljen e IPv6 në pajisjen e degës dhe konfirmoni që hostet në LAN-in e saj e dërgojnë trafikun për grupin VPN përsëri drejt degës dhe jo drejt një rruge të paracaktuar që nuk e njeh grupin.

Ajo rrugë kthimi është ekuivalenti IPv6 i problemit të rrugës që mungon, me të cilin njerëzit përballen me IPv4.

Kontrollojeni nga një host LAN me një kërkim për adresën e grupit VPN, jo nga vetë dega. Një kërkim i bërë në router përgjigjet një pyetjeje të ndryshme nga ajo që bëjnë përdoruesit tuaj, dhe të dyja nuk pajtohen mjaft shpesh sa ia vlen komanda shtesë.

Kur çifti ende nuk mjafton

Disa instalime nuk e përdorin fare këtë rrugë. Rruga e të dhënave e kernelit dhe serverët e menaxhuar nga produkti kanë trajtimin e tyre të mbështetur të rrugëve, dhe një shembull i hapësirës së përdoruesit mund të mos përkthehet drejtpërdrejt.

Konfirmoni cilën rrugë të dhënash përdor ndërtimi juaj përpara se të kopjoni direktiva nga një tutorial i shkruar për tjetrën.

Së fundi, mbani mend shtrirjen e adresave: një parashtesë unike lokale si fd00:7a::/64 është private nga dizenjimi dhe nuk thotë asgjë për arritshmërinë publike të IPv6. Trajtojeni si akses të brendshëm dhe mbani daljen në internet si një pyetje të veçantë me politikën e vet.