IPv6 через VPN: делегований префікс — це не пул адрес

Того самого дня надходять два запити: ноутбуку потрібен IPv6 через тунель, а невеликий майданчик хоче IPv6 для пристроїв за своїм маршрутизатором. Обидвом відповідають адресою, і другий потім витрачає тиждень на невдачі. Ролі різняться, як і механізми, конфігурація та перевірка, що доводить працездатність. Цей посібник тримає їх окремо.

Крок перший: вирішіть, яку роль ви обслуговуєте

Одиночному хосту потрібна одна адреса на його тунельному інтерфейсі, маршрут на дальній бік і нічого нижче, що довелося б нумерувати. Маршрутизатору за тунелем потрібна ціла мережа, яку він може роздавати, плюс маршрут на дальньому боці, що повертає ці адреси до нього. Те, що стоїть за тунелем, визначає кожне наступне рішення.

Дайте відповідь на це питання, перш ніж відкривати будь-яку конфігурацію. Усе після цього кроку залежить від того, яку відповідь ви дали.

Крок другий: призначення адрес для одиночного хоста

Призначте адресу тунелю, підтвердьте довжину префікса, яку очікує продукт, і перевірте, чи клієнт встановлює маршрут для віддаленого діапазону, а не надсилає його на локальний шлюз за замовчуванням. /128 на тунельному інтерфейсі нормальний для з'єднання точка-точка, тоді як /64 там претендує на мережу, яку ніхто не делегував. Два виводи вирішують питання: таблиця адрес і таблиця маршрутів, прочитані на обох кінцях. Читайте їх разом, бо маршрут, що вказує на неправильний інтерфейс, — найпоширеніша помилка на цьому кроці.

Перевірте за таблицями адрес і маршрутів на обох кінцях, потім надішліть один запит. Якщо запит виходить правильно і нічого не повертається, несправність у маршруті дальнього боку, а не в адресі клієнта.

Крок третій: делегування для маршрутизатора за тунелем

Делегування префікса — окремий механізм від призначення адрес, зі своїм запитом і своєю орендою. Сторона, що делегує, має бути налаштована видавати префікс, достатньо великий для нижчої мережі, а маршрутизатор, що запитує, має нумерувати свій внутрішній інтерфейс із цього префікса.

Не припускайте, що пул, який обслуговує мобільних клієнтів, уміє делегувати. Багато продуктів VPN призначають окремі адреси і взагалі не мають ролі делегування, а префікс провайдера, що надходить на ваш край, не передається автоматично партнеру. Запишіть, яку роль обслуговує кожен пул, бо обидва налаштовуються в різних місцях.

Крок четвертий: зробіть зворотний маршрут явним

Обидва кінці мають домовитися, який партнер несе який префікс. На дальньому боці додайте маршрут для делегованої мережі, що вказує на тунель, і підтвердьте, що жоден перетинний діапазон уже не претендує на нього.

Дійсний префікс без зворотного маршруту дає охайний план адресації і жодного зв'язку. Маршрут без правила доступу розкриває більше майданчика, ніж задумано, тож поєднайте обидві зміни в одному вікні й тримайте наполовину застосований стан далі від користувачів.

Крок п'ятий: перевірте з-за маршрутизатора

Виконуйте перевірки по порядку: адреса тунельного інтерфейсу на клієнті, делегований префікс на внутрішньому інтерфейсі, маршрут дальнього боку до цього префікса і нарешті запит із пристрою за маршрутизатором. Використовуйте пункт призначення, який ви контролюєте, щоб тихе блокування відрізнялося від відсутнього маршруту. Який би крок вас не здивував, саме його треба виправити, перш ніж рухатися далі.

Виконайте останню перевірку двічі: один раз із самого маршрутизатора і один раз із пристрою за ним. Маршрутизатор, який досягає пункту призначення, тоді як його клієнти не можуть, — це проблема делегування або пересилання, а не проблема вище за потоком.

Відкат

Збережіть попередню конфігурацію адресації до зміни та занотуйте, який із двох механізмів ви змінили. Видалення делегованого префікса без видалення маршруту залишає чорну діру, а видалення маршруту без префікса залишає адреси, до яких ніщо не дістанеться. Занотуйте обидві зміни окремо, бо скасування однієї при збереженні іншої робить майданчик недоступним лише в одному напрямку.

Якщо продукт виявиться таким, що не підтримує потрібну вам роль, зупиніться і змініть проєкт, а не розтягуйте поле клієнта, щоб умістити діапазон, для якого воно ніколи не призначалося. Звернення до підтримки, відповідене не тим механізмом, коштує дорожче, ніж коштувала б зміна проєкту.