இரு தள WireGuard மையத்திற்கான IPv6 திட்டமிடல்: முன்னொட்டு, இணையர், வழிகள்
இரு LAN-க்கான தனியார் IPv6 மையத்தில் வேலை செய்யுங்கள்: முன்னொட்டைத் தேர்ந்தெடுத்து, சுரங்க முகவரிகளை ஒதுக்கி, பின்னர் எந்த இணையர் எந்த துணைவலையத்தைக் கொண்டுள்ளது என்பதை AllowedIPs வெளிப்படுத்தட்டும்.
இரு LAN, ஒரு WireGuard மையம் மற்றும் மூன்று தனித்தனி கேள்விகளுக்குப் பதிலளிக்க வேண்டிய IPv6 முகவரித் திட்டம்: எந்த முன்னொட்டு, எந்த முகவரி எந்த திசைவழிப்படுத்திக்கு உரியது, எந்த இணையர் எந்த துணைவலையத்தைக் கொண்டுள்ளது. இவற்றில் ஒன்று தவறானாலும் கைகுலுக்கல் நடக்கும் ஆனால் எதையும் வழிப்படுத்தாத சுரங்கம் உருவாகும். கீழே உள்ள திட்டம் அதே வரிசையில் தனியார் இரு தள வடிவமைப்பைக் கடக்கிறது. இது வேண்டுமென்றே IPv6 இணைய அணுகலை வழங்காது.
முன்னொட்டு எதற்கு என்பதை முடிவு செய்யுங்கள்
தளங்களுக்கிடையே தனியார் அணுகல் இலக்காக இருக்கும்போது fd00::/8 இலிருந்து தனித்துவமான உள்ளூர் முன்னொட்டு இயற்கையான தேர்வு. ஒவ்வொரு இடத்திற்கும் எந்த ISP சேவை செய்தாலும் அது நிலையாக இருக்கும், உலகளாவிய வழிப்படுத்தல் அட்டவணையில் அறிவிக்கப்படுவதில்லை, எனவே உங்கள் உள் எண்ணிடல் இணையத்திற்குக் கசிய முடியாது.
அதே பண்பே வரம்பு. ULA எந்தப் பொது திரும்பும் பாதையையும் தருவதில்லை, ஏனெனில் உங்கள் நுழைவாயிலுக்கு அதை வழிப்படுத்த வேண்டும் என்று எந்த மேல்நிலை வழங்குநருக்கும் தெரியாது. தேவையில் IPv6 இணைய வெளியேற்றம் இருந்தால், உங்களுக்குத் தேவை அதை உங்களை நோக்கி வழிப்படுத்தும் வழங்குநரிடமிருந்து ஒதுக்கீடு, இது அதன் சொந்த முன்னொட்டு அளவைக் கொண்ட தனி வடிவமைப்பு முடிவு.
ஒவ்வொரு பயன்பாட்டிற்கும் /48 தேவை என்று எண்ண வேண்டாம். RFC 6177 இறுதி தளத்திற்கான ஒரே கட்டாய அளவிலிருந்து விலகியது, சரியான அளவு நீங்கள் இயக்கப்போகும் வலையங்களின் எண்ணிக்கையைப் பொறுத்தது. வேறு அமைப்பும் பயன்படுத்தக்கூடிய முன்னொட்டைக் கற்பனை செய்வதற்குப் பதிலாக RFC 4193 நடைமுறையில் ULA உருவாக்குங்கள். எந்தச் சாதனமும் உள்ளமைக்கப்படும் முன் முடிவை முகவரித் திட்டத்தில் எழுதுங்கள், ஏனெனில் யாரும் பதிவு செய்யாத முன்னொட்டு யாரோ மீண்டும் பயன்படுத்தும் முன்னொட்டு.
முன்னொட்டைப் பாத்திரங்களாகப் பிரியுங்கள்
கீழே உள்ள எடுத்துக்காட்டு fd7c:2e91:4a00::/48 பயன்படுத்துகிறது, அட்டவணை தளத்தின் அடிப்படையில் அல்ல, ஒவ்வொரு தொகுதியும் எங்கு எழுதப்படுகிறது என்பதன் அடிப்படையில் ஒழுங்கமைக்கப்பட்டுள்ளது. மதிப்புகளை மாதிரியாகக் கருதி எதையும் பயன்படுத்தும் முன் உங்களுடையதை உருவாக்குங்கள்.
| Where it is written | What appears there | Block used | What it establishes |
|---|---|---|---|
| Hub wg0.conf, interface address | A single host address on the tunnel | fd7c:2e91:4a00:ff00::1/128 | The hub's own tunnel identity |
| Hub wg0.conf, Site A peer | Two ranges in one AllowedIPs line | ::2/128 and :10::/64 | That A owns its tunnel address and its LAN |
| Hub wg0.conf, Site B peer | Two ranges in one AllowedIPs line | ::3/128 and :20::/64 | That B owns its tunnel address and its LAN |
| Site A wg0.conf, interface address | A single host address on the tunnel | fd7c:2e91:4a00:ff00::2/128 | A's identity as the hub sees it |
| Site B wg0.conf, interface address | A single host address on the tunnel | fd7c:2e91:4a00:ff00::3/128 | B's identity as the hub sees it |
LAN தொகுதிகள் /64, ஏனெனில் சாதாரண SLAAC 64-பிட் இடைமுக அடையாளங்காட்டியை எதிர்பார்க்கிறது. LAN-ஐ சிறிய தொகுதியாகப் பிரிப்பது பெரும்பாலான புரவலர்களில் அந்த அனுமானத்தை உடைக்கிறது, தனியார் திட்டத்தில் முகவரி சேமிப்பிற்கு இயக்கச் செலவு மதிப்புக்குரியதல்ல. இரு LAN தொகுதிகளும் /48-இன் நடுவிலிருந்து வருகின்றன, கீழ் வரம்பு பின்னர் வரும் தளங்களுக்கு இலவசமாக உள்ளது.
சுரங்க முகவரிகள் நிர்வாகக் கையிருப்பு, இணைப்பில் உள்ள வலையம் அல்ல. ஒவ்வொரு இடைமுகமும் அதிலிருந்து ஒரு /128 பெறுகிறது, எனவே எந்தப் புரவலனும் சுரங்கத்தில் பகிரப்பட்ட துணைவலையத்தைக் கருதுவதில்லை, தேவையில்லாத இடத்தில் அடுத்தடுத்து கண்டறிதல் இயங்குவதில்லை. பாத்திரங்களைத் தனியாக வைத்து அமைப்பின் முகவரித் திட்டத்தில் பதிவு செய்யுங்கள், பின்னர் வரும் தளம் தொகுதியை மீண்டும் பயன்படுத்தாதிருக்க.
ஒவ்வொரு திசைவழிப்படுத்திக்கும் ஒரு சுரங்க முகவரி கொடுங்கள்
ஒவ்வொரு திசைவழிப்படுத்திக்கும் ஒரு /128 ஒதுக்கி, இயங்கும் மையத்தின் தற்போதைய விசைகளையும் இறுதிப் புள்ளிகளையும் தக்கவைத்துக் கொள்ளுங்கள். கீழே உள்ள மூன்று மதிப்புகளும் புரவலன் பகுதியில் மட்டுமே வேறுபடுகின்றன.
Hub: Address = fd7c:2e91:4a00:ff00::1/128
Site A: Address = fd7c:2e91:4a00:ff00::2/128
Site B: Address = fd7c:2e91:4a00:ff00::3/128இந்த /128 அந்த இடைமுகத்திற்கு ஒதுக்கப்பட்ட ஒரே முகவரியை விவரிக்கிறது. இணையர் எத்தனை இலக்குகளுக்கு வழிப்படுத்தலாம் என்பதை இது கூறாது, ஏனெனில் அணுகல் இடைமுக முன்னொட்டில் அல்ல, AllowedIPs-இல் வெளிப்படுத்தப்படுகிறது.
ஒவ்வொரு தள திசைவழிப்படுத்திக்கும் அதன் LAN தொகுதியில் ஒரு முகவரியும் அதை விநியோகிக்கும் வழியும் தேவை, பொதுவாக SLAAC-க்கான திசைவழிப்படுத்தி அறிவிப்புகள். WireGuard அந்த அறிவிப்புகளை உங்கள் சார்பாக அனுப்புவதில்லை, இரு LAN-களையும் இணைப்பதில்லை. தள திசைவழிப்படுத்தி இரு திசைகளிலும் ஒரு திசைவழிப்படுத்தி.
துணைவலைய உரிமையை AllowedIPs-இல் வையுங்கள்
தளம் A-க்கான மையத்தின் இணையர் பதிவு A-இன் சுரங்க முகவரியையும் A-இன் LAN-ஐயும் கொண்டுள்ளது, அந்த இணையே முழு உரிமை அறிக்கை. அந்த இணையர் பகுதியில் வேறு எதுவும் தளத்தை விவரிக்கத் தேவையில்லை.
AllowedIPs = fd7c:2e91:4a00:ff00::2/128, fd7c:2e91:4a00:10::/64தளம் B-இன் இணையர் பதிவு பொருந்தும் இணையைக் கொண்டுள்ளது, இங்கே சமச்சீர்மை சுருக்கத்தை விட முக்கியம். இரு வரிகளையும் சேர்த்து படியுங்கள், உரிமைப் பிரிவு ஒரு பார்வையில் தெரியும்.
AllowedIPs = fd7c:2e91:4a00:ff00::3/128, fd7c:2e91:4a00:20::/64இவை இரண்டு தனி இணையர் பகுதிகள், ஒரு இணையருக்காகப் போட்டியிடும் இரு பட்டியல்கள் அல்ல. WireGuard AllowedIPs-ஐ இரு திசைகளிலும் பயன்படுத்துகிறது: வெளியேறும் இலக்கிற்கு இணையரைத் தேர்ந்தெடுக்கிறது, மேலும் அதை மறைகுறியாக்கிய இணையருக்கு ஒதுக்கப்பட்ட வரம்புடன் மூலம் பொருந்தாத உள்வரும் பொதியை நிராகரிக்கிறது. இரு இணையர்களுக்கும் முழு /48 கொடுத்தால் அந்த இரண்டாம் சரிபார்ப்பு செயலிழந்து எந்த தளம் எந்தத் தொகுதியைக் கொண்டுள்ளது என்பது மங்கும். அந்த வேறுபாடே தவறான மூல முகவரியை அமைதியாக ஏற்றுக்கொள்வதற்குப் பதிலாகத் தெரியும்படி செய்கிறது.
ஒவ்வொரு தளத்திற்கும் அதன் மைய இணையர் வழியாக அணுகக்கூடிய இலக்குகள் மட்டுமே தேவை: தளம் A மையத்தின் முகவரி, தளம் B-இன் சுரங்க முகவரி மற்றும் B-இன் LAN-ஐப் பட்டியலிடுகிறது, தளம் B எதிர்மறைத் தொகுப்பைப் பட்டியலிடுகிறது. பட்டியல்கள் வேண்டுமென்றே சமச்சீரற்றவை, ஏனெனில் ஒவ்வொரு திசைவழிப்படுத்தியும் இடவியலின் வேறு பக்கத்தைப் பார்க்கிறது. இரண்டையும் முகவரித் திட்டத்திலிருந்து எழுதுங்கள், மற்ற தளத்தின் உள்ளமைவிலிருந்து அல்ல, ஏனெனில் அப்படியே பழைய வரம்பு மறுஎண்ணிடலில் தப்பிப் பிழைக்கிறது.
wg-quick-இல் இந்த வரம்புகள் வழிகளையும் உருவாக்குகின்றன. systemd-networkd அல்லது கைமுறை அமைப்பில் இணையான வழிகளை நீங்களே சேர்க்கவும்; இல்லையெனில் கர்னல் ஒருபோதும் அனுப்பாத பொதிகளைச் சுரங்கம் சுமக்கும்.
முன்னனுப்பலை முடித்து இரு திசைகளையும் சோதியுங்கள்
மையத்திலும் இரு தள திசைவழிப்படுத்திகளிலும் IPv6 முன்னனுப்பலை இயக்கி, முன்னனுப்பல் கொள்கையில் தேவையான தளங்களுக்கிடையேயான சேவைகளை அனுமதியுங்கள். ICMPv6 Packet Too Big செய்திகளைப் பயன்படுத்தக்கூடியதாக வைத்திருங்கள், ஏனெனில் அவற்றை வீசினால் பாதை MTU கண்டறிதல் உடையும், பயன்பாட்டுக் குறைபாடுகள் போலத் தோன்றும் பெரிய பரிமாற்றத் தடைகள் உருவாகும். தீச்சுவர் அனுமதியின்றி முன்னனுப்பும் மையம் வழிப்படுத்தலுக்கும் சுரங்கத்திற்கும் இடையே பொதியை வீசும். இந்தத் தோல்விப் பாங்கு அறியத்தக்கது, ஏனெனில் சுரங்கம் இயங்கிக்கொண்டே இருக்கும், சில ஓட்டங்கள் மட்டுமே இறக்கின்றன.
sysctl net.ipv6.conf.all.forwarding
ip -6 route
ping -6 -c 3 fd7c:2e91:4a00:20::1தளம் A-இன் புரவலனிலிருந்து தளம் B-இன் புரவலனுக்கு, பின்னர் எதிர் திசையில் சோதியுங்கள். மையத்தின் சுரங்க முகவரிக்கு ping முதல் தாவலை மட்டுமே சோதிக்கும், LAN வழிகள் தவறாக இருந்தாலும் வெற்றி பெறும். திட்டத்தை நிரூபிப்பது புரவலன்-க்கு-புரவலன் ஓட்டமே.
வெளிப்புற WireGuard இணைப்பு IPv4 மீது இயங்கலாம், உட்புறப் போக்குவரத்து IPv6 ஆக இருக்கலாம், இந்தச் சுதந்திரம் இடமாற்றத்தின் போது பயனுள்ளது. பின்னர் உலகளாவிய IPv6 வெளியேற்றம் சேர்க்கப்பட்டால், வழங்குநர் ஒதுக்கீடு, மூல முகவரி தேர்வு மற்றும் திரும்பும் வழிப்படுத்தலைப் புதிய வடிவமைப்புப் படியாக மறுபரிசீலனை செய்யுங்கள்; மேலே உள்ள தனியார் திட்டம் தளங்களுக்கிடையேயான போக்குவரத்திற்கு செல்லுபடியாகும்.