IPv6 kupitia handaki ya OpenVPN: mwongozo wa kipanga njia cha nyumbani

Kompyuta ya mkononi ina anwani ya IPv6, handaki iko juu ya IPv4, na bado kila jaribio la IPv6 linashindwa. Au mbaya zaidi: jaribio linafaulu na trafiki ilitoka kwa njia ya mtoa huduma bila kuingia kamwe kwenye handaki. Matokeo yote mawili yanarudi kwa uamuzi mmoja unaokosekana: hakuna aliyempa kipanga njia kiambishi awali ambacho kingeweza kuelekeza kwa wateja. Kupitia njia kutoka kwa mteja kuelekea nje kunagundua sehemu ipi inakosekana.

Anza mahali mteja alipo

Angalia mteja kabla ya kugusa seva. ip -6 addr inapaswa kuonyesha anwani ya handaki kutoka kwenye bwawa, na ip -6 route inapaswa kuonyesha kiambishi awali kilichosukumwa kinachoelekeza kwenye kifaa cha handaki. Anwani ikiwepo lakini njia haipo, usukaji haupo au mteja aliupuuza. Zote mbili zisipokuwepo, seva haikugawa chochote kabisa.

Kisha angalia mteja anachofikiri kuhusu ulimwengu wa nje. Njia chaguo-msingi kupitia handaki inadai trafiki yote ya IPv6, wakati njia ya 2000::/3 inadai unicast ya kimataifa pekee. Zote mbili zinaweza kuwa sahihi, na zinajibu maswali tofauti kuhusu uvujaji.

Mteja asiye na njia yoyote chaguo-msingi ya IPv6 hushindwa katika kila jaribio la umma ingawa handaki yenyewe ni nzima kabisa. Hilo ni pengo la sera, si handaki iliyovunjika.

Angalia bwawa ambalo seva inaweza kuelekeza kweli

Seva inaweza kugawa tu kutoka kiambishi awali ambacho inakidhibiti kweli. Ikiwa mtoa huduma anapeana /56, tenga /64 moja kwa handaki na uache iliyobaki kwa LAN. Pale mtoa huduma anapotoa /64 moja tu kwenye WAN na haelekezi kingine chochote, acha kiambishi awali cha LAN kama kilivyo na upe handaki masafa ya kipekee ya ndani, ukikubali kwamba wateja hawatakuwa na njia ya kutoka ya kimataifa.

Bwawa na usukaji huenda pamoja. server-ipv6 2001:db8:80:10::/64 hugawa anwani, na push "route-ipv6 2000::/3" huwaambia wateja nini cha kutuma kwenye handaki. Kusukuma 2000::/3 hufunika unicast ya kimataifa na kuacha masafa ya link-local na multicast nje ya handaki.

Andika kiambishi awali kilichochaguliwa kwenye rekodi ya usambazaji. Yeyote atakayebadilisha uhamishaji wa mtoa huduma wakati ujao anahitaji kujua ni /64 ipi handaki inachukua tayari.

Washa upelekaji kwa familia ya pili

Upelekaji wa IPv4 haumaanishi upelekaji wa IPv6. Weka net.ipv6.conf.all.forwarding=1 na uakisi kila kitu ambacho sera ya FORWARD ya IPv4 tayari inaruhusu. Kwenye kipanga njia ambacho mnyororo wake wa FORWARD hutupa kwa chaguo-msingi, seti ya kanuni inayokosekana inaonekana kama handaki iliyokufa.

Kupeana mikono kunafaulu, mteja anapata anwani, na hakuna kinachorudi. Ongeza kanuni kwa pande zote mbili na kwa mguu wa WAN, kwa sababu handaki inayofikia LAN lakini si intaneti inashindwa jaribio la tatu. Baada ya jaribio lililoshindwa angalia vihesabu vya mnyororo, kwa sababu kanuni ambayo haikulingana kamwe ni tatizo tofauti na ile iliyolingana na kutupa.

ip6tables -A FORWARD -i br0 -o tun0 -j ACCEPT
ip6tables -A FORWARD -i tun0 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -A FORWARD -i tun0 -o wan0 -j ACCEPT

Athari moja ya pembeni huwakamata wale wanaomaliza kulaumu handaki. Kuwasha upelekaji hufanya kerneli iruke usanidi wa anwani kupitia Router Advertisement isipokuwa ukiambiwa vinginevyo, na njia chaguo-msingi iliyojifunza hivyo hupotea pamoja nayo. Ama bamba njia chaguo-msingi iliyo wazi kwenye kiolesura cha WAN, au weka hapo accept_ra kuwa 2 kwa makusudi. Baada ya mabadiliko yoyote, thibitisha kuwa kipanga njia bado kina njia ya IPv6 inayoweza kutumika kuelekea nje kabla ya kuwajaribu wateja tena.

Jibu ugunduzi wa majirani wakati upande wa juu hauelekezi

Vifaa vya juu wakati mwingine huchukulia /64 iliyokabidhiwa kama mali ya kiungo chao wenyewe na hukataa kuelekeza kiambishi kidogo chochote kwenye sanduku la VPN. Hilo linapotokea, kitu lazima kijibu maombi ya majirani kwa kila anwani ya mteja mmoja mmoja.

OpenVPN hufichua anwani iliyogawiwa kwa ndoano ya client-connect, kwa hiyo maingizo yanaweza kufuata bwawa halisi badala ya orodha inayotunzwa kwa mkono. Ndoano huongeza ip -6 neigh add proxy $ifconfig_pool_remote_ip6 dev eth0, na ndoano ya client-disconnect inayolingana huiondoa. Bila kuiondoa, jedwali la proksi huzeeka na mteja wa baadaye anaweza kurithi ingizo la anwani ambayo hakuwahi kuipata. Thibitisha hali kwa ip -6 neigh show proxy.

Chukulia proksi kama suluhisho la kukwepa. Njia tuli ya /64 ya handaki inayoelekezwa kwenye kipanga njia hustahimili mabadiliko ya wateja na haihitaji ndoano ya shell yenye upendeleo wowote.

Fuata njia kuelekea nje, hatua kwa hatua

Jaribu kuelekea nje kwa hatua tatu: kwanza anwani ya handaki ya kipanga njia, kisha mwenyeji wa LAN, na tatu marudio ya umma kupitia traceroute6. Bwawa linathibitishwa na la kwanza, upelekaji na ukuta wa moto wa LAN na la pili, na njia ya kurudi kupitia upande wa juu na la tatu. Kila kushindwa hupunguza utafutaji kwenye kifaa kimoja badala ya kufungua muundo mzima tena.

Angalia MTU ya handaki, kwa sababu vipanga njia vya IPv6 njiani havitagawanya kwa niaba yako. MTU kubwa mno huonekana kama hitilafu ya packet-too-big na TLS iliyokwama badala ya kushindwa safi. Iweke kwa uwazi na ujaribu kwa mzigo karibu na kikomo.