IPv6 över VPN: ett delegerat prefix är inte en adresspool

Samma dag kommer två förfrågningar in: en bärbar dator behöver IPv6 över tunneln, och en liten plats vill ha IPv6 för enheterna bakom sin router. Båda besvaras med en adress, och den andra tillbringar sedan en vecka med att misslyckas. Rollerna skiljer sig, och det gör även mekanismerna, konfigurationen och kontrollen som bevisar att det fungerar. Den här guiden håller dem åtskilda.

Steg ett: avgör vilken roll du betjänar

En enskild värd behöver en adress på sitt tunnelgränssnitt, med en rutt till den avlägsna sidan och ingenting nedströms som ska numreras. En router bakom tunneln behöver ett helt nätverk som den kan dela ut, plus en rutt på den avlägsna sidan som pekar tillbaka dessa adresser till den. Det som ligger bakom tunneln styr varje beslut som följer.

Svara på den frågan innan du öppnar någon konfiguration. Allt efter detta steg beror på vilket svar du gav.

Steg två: adresstilldelning för en enskild värd

Tilldela tunneladressen, bekräfta den prefixlängd som produkten förväntar sig, och kontrollera att klienten installerar en rutt för det avlägsna intervallet i stället för att skicka den till den lokala standardgatewayen. En /128 på ett tunnelgränssnitt är normalt för en punkt-till-punkt-förbindelse, medan en /64 där gör anspråk på ett nätverk som ingen har delegerat. Två utdata avgör frågan: adresstabellen och rutttabellen, lästa i båda ändar. Läs dem tillsammans, eftersom en rutt som pekar på fel gränssnitt är det vanligaste felet i detta steg.

Kontrollera med adress- och rutttabellerna i båda ändar och skicka sedan en förfrågan. Om förfrågan går ut korrekt och ingenting kommer tillbaka, ligger felet i den avlägsna sidans rutt och inte i klientens adress.

Steg tre: delegering för en router bakom tunneln

Prefixdelegering är en egen mekanism från adresstilldelning, med egen förfrågan och egen lease. Den delegerande sidan måste vara konfigurerad att lämna ut ett prefix som är stort nog för nätverket nedströms, och den begärande routern måste numrera sitt inre gränssnitt från detta prefix.

Anta inte att poolen som betjänar mobila klienter kan delegera. Många VPN-produkter tilldelar enstaka adresser och har ingen delegeringsroll alls, och ett leverantörsprefix som anländer till din kant skickas inte automatiskt vidare till en motpart. Notera vilken roll varje pool betjänar, eftersom de två konfigureras på olika ställen.

Steg fyra: gör returvägen explicit

Båda ändarna måste komma överens om vilken motpart som bär vilket prefix. På den avlägsna sidan lägger du till rutten för det delegerade nätverket som pekar mot tunneln, och bekräftar att inget överlappande intervall redan gör anspråk på den.

Ett giltigt prefix utan returväg ger en prydlig adressplan och ingen anslutning. En rutt utan åtkomstregel exponerar mer av platsen än avsett, så koppla ihop de två ändringarna i samma fönster och håll ett halvt tillämpat tillstånd borta från användarna.

Steg fem: kontrollera bakom routern

Kör kontrollerna i ordning: tunnelgränssnittets adress på klienten, det delegerade prefixet på det inre gränssnittet, den avlägsna sidans rutt mot detta prefix och till sist en förfrågan från en enhet bakom routern. Använd en destination du kontrollerar, så att en tyst blockering kan skiljas från en saknad rutt. Vilket steg som än överraskar dig är det som ska åtgärdas innan du går vidare.

Gör den sista kontrollen två gånger, en gång från routern själv och en gång från en enhet bakom den. En router som når destinationen medan dess klienter inte kan är ett delegerings- eller vidarebefordringsproblem, inte ett problem längre upp.

Återställning

Spara den tidigare adresskonfigurationen före ändringen och notera vilken av de två mekanismerna du ändrade. Att ta bort ett delegerat prefix utan att ta bort rutten lämnar ett svart hål, och att ta bort rutten utan prefixet lämnar adresser som ingenting kan nå. Notera de två ändringarna separat, eftersom att ångra den ena medan den andra står kvar gör en plats oåtkomlig i bara en riktning.

Om en produkt visar sig inte stödja den roll du behöver, stanna och ändra designen i stället för att tänja ett klientfält för att rymma ett intervall det aldrig var avsett för. Ett supportärende som besvaras med fel mekanism kostar mer än designändringen hade kostat.