IPv6 преко VPN-а: делегирани префикс није базен адреса

Истог дана стижу два захтева: лаптопу је потребан IPv6 кроз тунел, а малој локацији треба IPv6 за уређаје иза њеног рутера. Оба добијају одговор са адресом, а други затим проводи недељу дана у неуспеху. Улоге се разликују, као и механизми, конфигурација и провера која доказује да ради. Овај водич их држи одвојено.

Први корак: одлучите коју улогу опслужујете

Појединачном хосту је потребна једна адреса на његовом тунелском интерфејсу, рута ка далекој страни и ништа ниже што би требало нумерисати. Рутеру иза тунела потребна је цела мрежа коју може да дели, плус рута на далекој страни која те адресе враћа ка њему. Оно што стоји иза тунела одређује сваку следећу одлуку.

Одговорите на то питање пре него што отворите било коју конфигурацију. Све после овог корака зависи од тога какав сте одговор дали.

Други корак: додела адреса за појединачни хост

Доделите адресу тунела, потврдите дужину префикса коју производ очекује и проверите да ли клијент инсталира руту за далеки опсег уместо да је шаље на локалну подразумевану капију. /128 на тунелском интерфејсу је нормалан за везу тачка-тачка, док /64 тамо захтева мрежу коју нико није делегирао. Два излаза решавају питање: табела адреса и табела рута, прочитане на оба краја. Читајте их заједно, јер рута која показује на погрешан интерфејс је најчешћа грешка у овом кораку.

Проверите помоћу табела адреса и рута на оба краја, затим пошаљите један захтев. Ако захтев изађе исправно и ништа се не врати, квар је у рути далеке стране, а не у адреси клијента.

Трећи корак: делегирање за рутер иза тунела

Делегирање префикса је одвојен механизам од доделе адреса, са сопственим захтевом и сопственим закупом. Страна која делегира мора бити конфигурисана да изда префикс довољно велики за мрежу ниже, а рутер који захтева мора да нумерише свој унутрашњи интерфејс из тог префикса.

Не претпостављајте да базен који опслужује мобилне клијенте може да делегира. Многи VPN производи додељују појединачне адресе и уопште немају улогу делегирања, а префикс провајдера који стигне на вашу ивицу не преноси се аутоматски партнеру. Забележите коју улогу опслужује сваки базен, јер се две конфигуришу на различитим местима.

Четврти корак: учините повратну руту експлицитном

Оба краја морају да се сложе који партнер носи који префикс. На далекој страни додајте руту за делегирану мрежу која показује на тунел и потврдите да ниједан опсег који се преклапа већ не захтева је.

Исправан префикс без повратне руте даје уредан план адресирања и никакву повезаност. Рута без правила приступа открива више локације него што је предвиђено, зато спојите две измене у истом прозору и држите полупримењено стање даље од корисника.

Пети корак: проверите иза рутера

Изведите провере по реду: адреса тунелског интерфејса на клијенту, делегирани префикс на унутрашњем интерфејсу, рута далеке стране ка том префиксу и на крају захтев са уређаја иза рутера. Користите одредиште које контролишете, тако да се тихо блокирање разликује од руте која недостаје. Који год корак да вас изненади, тај треба поправити пре него што наставите.

Последњу проверу урадите два пута, једном са самог рутера и једном са уређаја иза њега. Рутер који стиже до одредишта док његови клијенти не могу јесте проблем делегирања или прослеђивања, а не проблем више узводно.

Враћање

Сачувајте претходну конфигурацију адресирања пре измене и забележите коју од две механизме сте изменили. Уклањање делегираног префикса без уклањања руте оставља црну рупу, а уклањање руте без префикса оставља адресе до којих ништа не може да стигне. Забележите две измене одвојено, јер враћање једне док друга остаје чини локацију недоступном само у једном смеру.

Ако се покаже да производ не подржава улогу која вам је потребна, зауставите се и промените дизајн уместо да растежете поље клијента да би држало опсег за који никада није било намењено. Случај подршке који је одговорен погрешним механизмом кошта више него што би промена дизајна коштала.