మీ GCP VM OpenVPN IPv6 పూల్‌కు ఎందుకు సమాధానం ఇవ్వలేదు

మీ IPv6 VPN క్లయింట్ పనిభారాన్ని చేరుకుంటుంది, పనిభారం సొరంగంలోకి సమాధానం ఇస్తుంది, కానీ సమాధానం ఎప్పుడూ రాదు. మొదటి ప్రవృత్తి ఫైర్‌వాల్ లేదా సొరంగాన్ని నిందించడం, సాధారణంగా రెండూ నేరస్థులు కావు. OpenVPN ఇచ్చే చిరునామా సొరంగం లోపల మాత్రమే ఉండే అంతర్గత నెట్‌వర్క్; fd42:90::/64 నిర్దిష్ట VM వెనుక ఉండాలని మీరు చెప్పే వరకు Google Cloud కు తెలియదు.

ఈ వాస్తవాన్ని రెండు వేర్వేరు వ్యవస్థలు నేర్చుకోవాలి, వాటిలో ఒకటి మాత్రమే OpenVPN. VPC ఏదైనా తిరిగి పంపడానికి ముందు మార్గం అవసరం, మరియు VM కు వచ్చేదాన్ని ఫార్వర్డ్ చేయడానికి అనుమతి ఇవ్వాలి. ఏ సగంలోనైనా తప్పు చేస్తే లక్షణం అలాగే కనిపిస్తుంది.

పూల్ అంతర్గత నెట్‌వర్క్, సబ్‌నెట్ కాదు

OpenVPN మీరు ఎంచుకునే పరిధి నుండి IPv6 చిరునామాలను ఇవ్వగలదు, ఆ పరిధి సొరంగం రెండు చివరలు అంగీకరించే ఒక కల్పన. ఇది Google Cloud సబ్‌నెట్ కాదు, VPC సబ్‌నెట్ జాబితాలో కనిపించదు, VM నెట్‌వర్క్ ఇంటర్‌ఫేస్ ఆ చిరునామాలను పొందదు. అందువల్ల క్లయింట్‌కు సమాధానం ఇచ్చే పనిభారం, నెట్‌వర్క్ మార్గం లేనిదిగా భావించే చిరునామాకు ప్యాకెట్ పంపుతుంది.

VPC ఇప్పటికే ఉపయోగించే ప్రతి పరిధి వెలుపల పూల్ ఉంచండి. మీ ఇతర సొరంగాల వెనుక ఉన్న పరిధుల వెలుపల కూడా ఉంచండి. అతివ్యాప్తి శుభ్రమైన మార్గనిర్దేశన వైఫల్యాన్ని లోడ్ కింద మాత్రమే కనిపించే అడపాదడపా వైఫల్యంగా మారుస్తుంది.

fd42:90::/64 వంటి ప్రత్యేక స్థానిక చిరునామాకరణ ఈ అంతర్గత నెట్‌వర్క్‌కు సరైన ఎంపిక. ఈ ఉపసర్గ రూపకల్పన స్వభావంగా ప్రైవేట్ అని కూడా గుర్తు చేస్తుంది. ULA పూల్‌లో ఏదీ దాన్ని పబ్లిక్ ఇంటర్నెట్‌లో చట్టబద్ధమైన మూలంగా చేయదు.

VPC కు గమ్యం మరియు తదుపరి హాప్ ఇవ్వండి

సమాధానానికి గమ్యం పూల్ మరియు తదుపరి హాప్ VPN VM అయిన VPC మార్గం అవసరం. ప్రస్తుత స్టాటిక్ మార్గ పత్రాలు IPv6 గమ్య పరిధులను కవర్ చేస్తాయి మరియు ఏ రకమైన తదుపరి హాప్‌లు అర్హమో జాబితా చేస్తాయి, కాబట్టి పాత IPv4 ఉదాహరణను కాపీ చేయడం బదులు మీ టోపాలజీకి మద్దతు ఉన్న రూపాన్ని ధృవీకరించండి.

తదుపరి హాప్ చిరునామా నిజంగా ఇన్‌స్టాన్స్ క్లౌడ్ ఇంటర్‌ఫేస్‌కు కేటాయించిన ఒకటి అయి ఉండాలి. VM అంతర్గత సొరంగ చిరునామా ఆ చిరునామా కాదు. అయినా దాన్ని ఉపయోగిస్తే శుభ్రంగా ఇన్‌స్టాల్ అయ్యే మరియు ఎప్పుడూ ప్యాకెట్‌తో సరిపోలని మార్గం ఏర్పడుతుంది. మార్గం రాయడానికి ముందు ఇంటర్‌ఫేస్ జాబితాను చదవండి.

మార్గ ప్రాధాన్యత నమోదు లాగానే ముఖ్యం. మీరు జోడించే అనుకూల మార్గాల కంటే సబ్‌నెట్ మార్గాలు మరింత నిర్దిష్టం, కాబట్టి ఇప్పటికే ఉన్న సబ్‌నెట్ పరిధి నుండి కత్తిరించిన పూల్, అనుకూల మార్గం ఎలా రాసినా సబ్‌నెట్ మార్గానికి ఓడిపోతుంది. వేరే పూల్ ఎంచుకోండి, తర్వాత మార్గం ఇన్‌స్టాన్స్‌ను తదుపరి హాప్‌గా మరియు సరైన గమ్య ఉపసర్గగా చూపుతుందని నిర్ధారించుకోండి:

gcloud compute routes create vpn6-return \
  --network=vpn-vpc \
  --destination-range=fd42:90::/64 \
  --next-hop-instance=openvpn-vm \
  --next-hop-instance-zone=europe-west1-b

ఫార్వర్డింగ్ రెండుసార్లు ప్రారంభించాలి

మార్గం ప్యాకెట్‌ను ఇన్‌స్టాన్స్‌కు చేరవేస్తుంది. తనకు చిరునామా కాని దాన్ని ఫార్వర్డ్ చేయడానికి ఇన్‌స్టాన్స్‌ను సిద్ధం చేయదు, మరియు ఆ అనుమతి రెండు స్థాయిలలో ఉంటుంది.

క్లౌడ్ వైపు ఇన్‌స్టాన్స్ ఫార్వర్డింగ్ సామర్థ్యం ప్రారంభించబడి ఉండాలి; ఇది VM తన సొంతం కాని చిరునామాల కోసం ట్రాఫిక్ స్వీకరించి పంపడానికి అనుమతించే సెట్టింగ్. అతిథి వైపు దాని స్వంత IPv6 ఫార్వర్డింగ్ అవసరం, ఎందుకంటే ప్యాకెట్ వచ్చిన తర్వాత కెర్నల్ వేరే నిర్ణయం తీసుకుంటుంది. ఒకే సమాధానం సొరంగాన్ని దాటే ముందు రెండూ ఆన్‌లో ఉండాలి.

sysctl -w net.ipv6.conf.all.forwarding=1

తర్వాత ఫైర్‌వాల్ నియమాలు అంతర్గత మూల పరిధిని రెండు దిశలలో అనుమతించాలి. Google Cloud డీక్యాప్సులేట్ చేసిన ప్యాకెట్‌ను అంచనా వేస్తుంది, కాబట్టి VPC సబ్‌నెట్‌ను మాత్రమే కవర్ చేసే నియమం సొరంగం ఇప్పటికే విజయవంతమైన తర్వాత పూల్ ట్రాఫిక్‌ను వదిలేస్తుంది. పూల్‌ను ఇన్‌గ్రెస్ నియమంలో మూల పరిధిగా జోడించండి, మరియు ఏ అనుకూల ఎగ్రెస్ విధానం సమాధానాన్ని నిరోధించలేదని తనిఖీ చేయండి. అవ్యక్త అనుమతి నియమం డిఫాల్ట్ కేసును కవర్ చేస్తుంది, చేతిరాత ఎగ్రెస్ నియమం కవర్ చేయదు.

ఎవరు ఏమి కలిగి ఉన్నారో OpenVPN కు చెప్పండి

ఆ క్లయింట్ గమ్యాన్ని కలిగి ఉందని తెలిసినప్పుడు OpenVPN ఆ క్లయింట్‌కు ఫార్వర్డ్ చేస్తుంది. పూల్ నుండి వచ్చే క్లయింట్ చిరునామాలను పూల్‌ను నిర్వచించే సర్వర్ సూచన నిర్వహిస్తుంది, కానీ క్లయింట్ వెనుక ఉన్న సబ్‌నెట్ వేరే ఏర్పాటు మరియు ఆ క్లయింట్ కోసం స్పష్టమైన యాజమాన్య నమోదు అవసరం.

రెండింటినీ కలపడం వల్ల సర్వర్‌కు పింగ్ పనిచేసే మరియు దాని వెనుక ఏదీ పనిచేయని సొరంగం ఏర్పడుతుంది. మీరు ఏ కేసును నిర్మిస్తున్నారో నిర్ణయించుకోండి, తర్వాత రెండవ push లైన్ జోడించి ఆశించడం బదులు సరిపోలే నమోదును రాయండి.

ఇంటర్నెట్ నిష్క్రమణను ఈ రూపకల్పన వెలుపల ఉంచండి

ప్రైవేట్ యాక్సెస్ మరియు ఇంటర్నెట్ యాక్సెస్ వేర్వేరు ప్రణాళికలు. మార్గనిర్దేశనం మరియు ఫార్వర్డింగ్ అంగీకరించిన తర్వాత ULA పూల్ సొరంగం ద్వారా VPC పనిభారాలను చేరుకోగలదు, అదే పూల్‌కు VPC ద్వారా పబ్లిక్ ఇంటర్నెట్‌కు ఎలాంటి మార్గం లేదు, ఎందుకంటే క్లౌడ్ గేట్‌వే ఏకపక్ష సొరంగ మూలాన్ని తనదిగా అంగీకరించదు.

క్లయింట్లకు ఇంటర్నెట్ నిష్క్రమణ కూడా అవసరమైతే, దాని కోసం మద్దతు ఉన్న చిరునామాకరణ మరియు మార్గనిర్దేశన రూపకల్పనను ప్రణాళిక చేయండి, దాన్ని ప్రైవేట్ పూల్ నుండి స్వతంత్రంగా ఉంచండి మరియు రెండు మార్గాలను విడివిడిగా పరీక్షించండి. పనిచేసే ఒక మార్గం మరొకదాని గురించి ఏమీ చెప్పదు, రెండింటినీ కలిపే రూపకల్పన విరిగిన సొరంగంలా కనిపించే విధంగా విఫలమవుతుంది.