IPv6 போக்குவரத்து VPN வழியாகவா அல்லது நேரடியாகவா செல்ல வேண்டும்?
::/0 சுரங்கப்பாதையின் உள்ளே சேருகிறதா என்பதை மூன்று நிபந்தனைகளால் தீர்மானிக்கவும்: வெளியேற்ற ஆதரவு, இறுதிப் புள்ளி அணுகல் மற்றும் உள்ளூர் வலைப்பிணையங்கள் மட்டும்.
கடந்த மாதம் இரண்டு பேர் என்னிடம் எதிர்மாறான முடிவுகளைக் கேட்டார்கள்: ஒருவர் IPv6 VPN மூலம் மூடப்பட வேண்டும் என்று விரும்பினார், மற்றவர் அலுவலக அச்சுப்பொறி தொடர்ந்து வேலை செய்ய வேண்டும் என்று விரும்பினார். ஒரு ::/0 வழி மட்டும் இரண்டையும் தானாக வழங்க முடியாது. அந்த வழி சுரங்கப்பாதையின் உள்ளே சேருகிறதா என்பது மூன்று நிபந்தனைகளைப் பொறுத்தது, முதல் நிபந்தனை பெரும்பாலான வணிக வெளியேற்றங்களுக்கு அதை விலக்குகிறது. வெளியேற்றம் IPv6 எடுத்துச் செல்லவில்லை என்றால், இயல்புநிலை வழியை அங்கு அனுப்புவது உங்கள் போக்குவரத்தை அனுப்ப இடமில்லாத சுரங்கப்பாதையில் மறைக்கிறது.
மூன்று நிபந்தனைகள் பதிலைத் தீர்மானிக்கின்றன
இயல்புநிலை வழி ஒரு வரி, ::/0, மேலும் கூடுதல் குறிப்பிட்ட வழி இல்லாத எந்த IPv6 இலக்குடனும் அது பொருந்துகிறது (RFC 4291). அதை நிறுவுவது எளிது. நீங்கள் அதைச் செய்ய வேண்டுமா என்ற முடிவு மூன்று நிபந்தனைகளில் முடிகிறது.
நிபந்தனை ஒன்று: நீங்கள் இணைக்கும் வெளியேற்றத்தில் வேலை செய்யும் IPv6 உள்ளது, அதை அனுப்பத் தயாராக உள்ளது. நிபந்தனை இரண்டு: உங்கள் வாடிக்கையாளர் சுரங்கப்பாதையின் இறுதிப் புள்ளிக்கு வழியை வைத்திருக்க முடியும், அது பொதுவாக நீங்கள் வழிமாற்றப் போகும் வரம்பிற்குள் இருக்கும். நிபந்தனை மூன்று: சுரங்கப்பாதைக்கு வெளியே இருக்க வேண்டிய உள்ளூர் IPv6 இலக்குகளைப் பெயரிட முடியும்.
ஒவ்வொரு நிபந்தனையும் அதன் வழியில் தோல்வியடைகிறது, அதனால் ஊகிப்பது ஒரு முழு மாலை செலவாகும். தோல்வியடைந்த முதல் நிபந்தனை உங்களுக்கு அமைதியையும் சரியாகத் தோன்றும் வழி அட்டவணையையும் தருகிறது. தோல்வியடைந்த இரண்டாம் நிபந்தனை தொடங்கிய சில வினாடிகளில் கைக்குலுக்கலைக் கொல்லும். தோல்வியடைந்த மூன்றாம் நிபந்தனை வேலை செய்யும் சுரங்கப்பாதையையும் அச்சுப்பொறி அருகில் அதிருப்தியான சக ஊழியரையும் விட்டுச் செல்கிறது.
| What you see | Decision |
|---|---|
| Exit answers IPv6 probes, no local IPv6 devices to protect | Route ::/0 into the tunnel |
| Exit answers IPv6 probes, printer or NAS reachable by a global address | Route ::/0, then give those prefixes a route of their own |
| Exit is IPv4-only inside the tunnel | Do not route ::/0; block IPv6 on the client |
Endpoint is reached over IPv6 and sits inside ::/0 | Install a host route for the endpoint first |
வெளியேற்றம் உண்மையில் IPv6 எடுத்துச் செல்கிறதா?
IPv6 முகவரி கொண்ட சுரங்கப்பாதை இடைமுகம் மறுபக்கத்தைப் பற்றி எதையும் நிரூபிக்கவில்லை. பல வணிக சுயவிவரங்கள் உள்ளே IPv4 மட்டுமே: சேவையகம் உங்களுக்கு v4 முகவரியைத் தந்து மற்ற அனைத்தையும் தூக்கி எறிகிறது. அதன் மேல் AllowedIPs இலிருந்து இயல்புநிலை வழியை நிறுவுங்கள், கர்னல் அதன் இணையர் ஒருபோதும் பார்க்காத இடைமுகத்திற்கு IPv6 ஐ மகிழ்ச்சியுடன் அனுப்பும்.
சுரங்கப்பாதை இயங்கும் போது வாடிக்கையாளரிடமிருந்து சோதிக்கவும். ping -6 -c 3 2001:4860:4860::8888 மற்றும் ip -6 route get 2001:4860:4860::8888 வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன: பதில் திரும்பி வருமா, மற்றும் கர்னல் எந்தச் சாதனத்தைத் தேர்ந்தெடுத்தது. இரண்டாவது உங்கள் சுரங்கப்பாதையைப் பெயரிடும்போது முதலாவது எதையும் திருப்பித் தரவில்லை என்றால், சிக்கல் வழியில் அல்ல, வெளியேற்றத்தில் உள்ளது.
வெளியேற்றத்தை நீங்களே இயக்கினால், வாடிக்கையாளர் சோதனை வெற்றி பெறலாம், வழி இருந்தும் முட்டுச்சந்தில் முடியலாம். நுழைவாயிலில் net.ipv6.conf.all.forwarding=1 இயங்குவதையும் அதன் தீர்வரிச் சுவர் சுரங்கப்பாதையிலிருந்து அனுப்பப்படும் பொதிகளை ஏற்பதையும் உறுதிப்படுத்தவும். மாற்றி அனுப்ப மறுக்கும் வெளியேற்றத்திற்கு சரியாக வழிமாற்றப்பட்ட பொதி வாடிக்கையாளர் பக்கத்திலிருந்து சரியாக ஒரு வழிமாற்றல் பிழை போலவே தெரிகிறது.
வாடிக்கையாளர் இறுதிப் புள்ளி வரை தன் வழியை வைத்திருக்க முடியுமா?
IPv6 மட்டும் கொண்ட WireGuard இறுதிப் புள்ளியுள்ள மடிக்கணினியில் என்னைப் பிடித்தது இதுதான். இறுதிப் புள்ளியின் முகவரி ஒரு சாதாரண உலகளாவிய முகவரி, எனவே அது ::/0 இற்குள் விழுகிறது. முழு முன்னொட்டையும் இடைமுகத்திற்கு வழிமாற்றுங்கள், கைக்குலுக்கல் பொதிகள் இன்னும் கட்ட முயற்சிக்கும் சுரங்கப்பாதைக்குள் தங்களையே விரட்டும். சுரங்கப்பாதை ஒருபோதும் எழவில்லை, வாடிக்கையாளர் வெளியீட்டில் ஏன் என்று எதுவும் சொல்லவில்லை.
wg-quick லினக்ஸில் இதைக் கையாள்கிறது. இது AllowedIPs இலிருந்து வழிகளைப் பெறுகிறது, அவற்றைத் தன் சொந்த அட்டவணையில் நிறுவுகிறது, இறுதிப் புள்ளிக்கான போக்குவரத்து முதலில் பிரதான அட்டவணை வழியாகத் தீர்க்கப்பட ஒரு கொள்கை விதியைச் சேர்க்கிறது: suppress_prefixlength 0 விதி, அதை ip -6 rule இல் காணலாம். அதனால்தான் wg-quick up கையால் எழுதப்பட்ட ip -6 route add default dev wg0 உங்களை வெட்டும் இடத்தில் வெற்றி பெறுகிறது.
சுரங்கப்பாதையை உயர்த்துவதற்கு முன்னும் பின்னும் இரு நிலைகளையும் ip -6 route get <endpoint-v6> மூலம் சரிபார்க்கவும். பதில் உங்கள் சுரங்கப்பாதை சாதனத்திற்கு மாறினால், சுரங்கப்பாதைக்குத் தேவையான வழியை அகற்றிவிட்டீர்கள். வழிகளை நீங்களே எழுதும்போது, அசல் நுழைவாயில் வழியாக இறுதிப் புள்ளிக்கு ஒரு புரவன் வழியைச் சேர்க்கவும், அல்லது IPv4 வழியாக இறுதிப் புள்ளியுடன் இணைந்து IPv6 ஐ சுமைக்கு விடவும்.
சுரங்கப்பாதைக்கு வெளியே என்ன இருக்க வேண்டும்?
மிகவும் குறிப்பிட்ட வழிகள் இயல்புநிலையை வெல்கின்றன, எனவே இணைப்பில் உள்ள முன்னொட்டு அல்லது தன் சொந்த வழியுள்ள ULA வரம்பு கூடுதல் முயற்சியின்றி வேலை செய்யும். பல முழு சுரங்கப்பாதை IPv4 அமைப்புகள் உயிர்வாழ்வதற்கான அமைதியான காரணம் இதுதான்: LAN முன்னொட்டுகள் இயல்புநிலையை விடக் குறிப்பிட்டவை, ஒருபோதும் சுரங்கப்பாதைக்குள் செல்லாது.
உள்ளூர் சாதனம் உலகளாவிய முகவரி வழியாக அணுகக்கூடியதாக இருக்கும்போது இது உடைகிறது, அதே திசைவி ஒரு பொது முன்னொட்டைக் கொடுத்த அச்சுப்பொறி, NAS அல்லது தொலைக்காட்சிக்கு இது சாதாரணமானது. அந்த முகவரிகள் ::/0 உடன் மட்டுமே பொருந்துகின்றன, வேறு எதனுடனும் இல்லை, எனவே அவை மற்ற அனைத்துடனும் சுரங்கப்பாதைக்குள் நகர்கின்றன, மறைகின்றன.
நெறிமுறையின் அடிப்படையில் அல்ல, இலக்கின் அடிப்படையில் முடிவெடுக்கவும். இரண்டு அல்லது மூன்று உள்ளூர் புரவன்கள் முக்கியம் என்றால், அவற்றின் முன்னொட்டுகளுக்கு இயற்பியல் இடைமுகம் வழியாக வெளியேறும் வழியைக் கொடுக்கவும், அல்லது பேச்சுவார்த்தை செய்யப்பட்ட தொகுப்பிலிருந்து நீக்கவும். பட்டியல் தொடர்ந்து வளர்ந்தால், நேர்மையான பதில் எழுத்துப்பூர்வ விலக்குப் பட்டியலுடன் IPv6 க்கான பிளவு சுரங்கப்பாதை, நீங்கள் தொடர்ந்து இணைப்பு செய்யும் இயல்புநிலை அல்ல.
பதில் இல்லை என்றால், அதைத் தடுக்கவும்
IPv6 ஐ வழியின்றி விடுவது அதைத் தனியாக விடுவதற்குச் சமமானது அல்ல. வேலை செய்யும் IPv6 இயல்புநிலை உள்ள புரவன் சுரங்கப்பாதை IPv4 எடுத்துச் செல்லும் போதும் அதைப் பயன்படுத்துகிறது, எனவே போக்குவரத்து VPN பக்கத்தில் வெளியேறுகிறது மற்றும் IPv6 ஐ விரும்பும் ஒவ்வொரு சேவையும் உங்கள் உண்மையான முகவரியைப் பார்க்கிறது. இது ஒரு கசிவு, பிளவு சுரங்கப்பாதை அல்ல.
ஒன்றைத் தேர்ந்தெடுத்து எதைத் தேர்ந்தெடுத்தீர்கள் என்று எழுதுங்கள். இயல்புநிலையை வழிமாற்றி மேலே உள்ள சமரசங்களை ஏற்கவும், அல்லது சுரங்கப்பாதை இருக்கும் காலம் முழுவதும் IPv6 ஐ முடக்கவும். AllowedIPs இலிருந்து முன்னொட்டை விட்டுவிடுவது மட்டும் போதாது, ஏனெனில் இயக்க முறைமை அதன் சொந்த இயல்புநிலையை வைத்திருக்கிறது. லினக்ஸில் கடினமான பதிப்பு sysctl -w net.ipv6.conf.all.disable_ipv6=1; நுட்பமான பதிப்பு தீர்வரிச் சுவர் விதியால் IPv6 ஐ சுரங்கப்பாதைக்கு வெளியே விழச் செய்கிறது. தொலைபேசி வாடிக்கையாளர்களில் அதே வேலையைச் செய்யும் தெளிவான IPv6 தடுப்பு நிலைமாற்றி உள்ளது.
கசிவைப் போலச் சரிபார்க்கவும்
சுரங்கப்பாதையை உயர்த்தி நிலைமாற்றியை நம்புவதற்குப் பதிலாக நிலையைப் படிக்கவும். ip -6 route show default ஒரு இயல்புநிலையைக் காட்ட வேண்டும், உங்கள் LAN க்கு வெளியே உள்ள இலக்கிற்கு ip -6 route get சுரங்கப்பாதை சாதனத்தைப் பெயரிட வேண்டும். துண்டிப்புக்குப் பிறகு இரண்டையும் மீண்டும் செய்யவும்: சுரங்கப்பாதையை விட நீண்ட காலம் வாழும் இயல்புநிலையே நீங்கள் தேடிய பிழை.
பின்னர் எதிர் திசையைச் சோதிக்கவும். உள்ளூர் வலைப்பிணையத்தில் உள்ள புரவனிலிருந்து, வாடிக்கையாளரை அதன் உள்ளூர் IPv6 முகவரியில் அணுகவும். அது வேலை செய்வதை நிறுத்தினால், அப்போது வழி அட்டவணை என்ன சொன்னாலும், மூன்றாம் நிபந்தனை ஒருபோதும் நிறைவேற்றப்படவில்லை.
முடிவை அடுத்த நபர் காணும் இடத்தில் எழுதுங்கள்: எந்த முன்னொட்டுகள் உள்ளூராக இருக்கின்றன, ஏன், மற்றும் துண்டிப்புக்குப் பிறகு வாடிக்கையாளர் என்ன செய்கிறார். runbook இல் இரண்டு வரிகள் அடுத்த பொறியாளர் நள்ளிரவில் இறுதிப் புள்ளி சுழற்சியை மீண்டும் கண்டுபிடிப்பதைத் தடுக்கின்றன.