IPv6 filial prefiksi: serverda iroute-ipv6 yoki route-ipv6?

Deyarli bir xil nomli ikkita direktiva har bir ishlaydigan misolda uchraydi va birini ikkinchisisiz nusxalash to'g'ri ko'rinadigan, ammo filial prefiksini jimgina yo'qotadigan tunnel hosil qiladi. Ular bir chegaraning ikki tomonida turli ish qiladi: biri server yadrosiga prefiks qayerda yashashini o'rgatsa, ikkinchisi OpenVPN qaysi tasdiqlangan mijoz uni tashishini o'rgatadi. Ikkalasi ham to'g'ri bo'lsa, prefiks oqadi; bittasi to'g'ri bo'lsa, paketlarda marshrut bor, lekin egasi yo'q.

Ikki direktiva, ikki xil ish

route-ipv6 — oddiy marshrut o'rnatish: server prefiksni o'z tunnel interfeysiga ko'rsatuvchi yadro marshrutini qo'shadi. iroute-ipv6 muayyan mijoz kontekstiga tegishli va ichki egalikni e'lon qiladi, shuning uchun daemon bu prefiks uchun trafik yadro marshruti tasodifan atagan peer'ga emas, balki aniq mijozga yuborilishi kerakligini biladi.

Biri yadroning uzatish jadvaliga, ikkinchisi daemonning ichki marshrutlash modeliga tegishli. Ularni alohida saqlash to'liq ko'ringan konfiguratsiya nega baribir prefiksni yo'qotishi mumkinligini tushuntiradi. Bu shuningdek bir xil tarmoqning har bir ishlaydigan misolda nega ikki marta uchrashini tushuntiradi. Ikkala satrning hech biri ortiqcha emas.

An'anaviy userspace sozlamasida ikkalasi ham kerak va ular bir-birini to'ldiradi. Faqat yadro marshruti daemonni peer tanlay olmaydigan holatda qoldiradi. Faqat iroute yadroni tunnelga boradigan yo'lsiz qoldiradi. Alohida mijoz fayllari haqidagi chalkashlikning ko'p qismi shu yerdan keladi: fayl marshrut jadvalining yozuvi emas, marshrut yozuvi esa egalik haqidagi bayonot emas.

ip -6 route show | grep fd00:7a
ip -6 route get fd00:7a::1

Qaysi biri qayerga tegishli

Marshrut serverning boshqariladigan konfiguratsiyasiga tushadi, u yerda u shu server jarayoniga tegishli. iroute mijozga xos faylga tushadi, u filial qurilmasining tasdiqlangan shaxsi nomi bilan ataladi.

Haqiqiy shaxsga mos kelmaydigan fayl nomi hech qachon o'qilmaydi va alomat yo'q iroute bilan bir xil bo'ladi. Server tasdiqlagan shaxsni tekshiring, so'ng fayl nomini belgi-ba-belgi tekshiring.

# /etc/openvpn/server/server.conf
route-ipv6 fd00:7a::/64
client-config-dir /etc/openvpn/server/ccd

# /etc/openvpn/server/ccd/branch-b
iroute-ipv6 fd00:7a::/64

Pool va filial prefiksini alohida saqlang, chunki ularning ustma-ust tushishi hech bir direktiva hal qila olmaydigan jumboq yaratadi.

Boshqa mijozga nima kerak

O'sha filialga yetishi kerak bo'lgan ikkinchi mijozga egalik emas, e'lon kerak. Prefiksni o'zingiz nazarda tutgan mijozlarga konfiguratsiyangizga mos mijoz yoki guruh kontekstida yuboring.

Uni filialning o'ziga yubormang, chunki bu qurilmada prefiks allaqachon ulangan tarmoq sifatida bor.

Uni hammaga yuborish — oqibatlari bor tanlov: shunda har bir mijoz filial tunnel orqali yetib borilishiga ishonadi, jumladan bu ruxsatni hech qachon bermoqchi bo'lmagan mijozlar ham. E'lon amalda ruxsat haqidagi qaror, garchi direktiva santexnika ishiga o'xshasa ham. server parametrlari ma'lumotnomasi iroute-ipv6-ni mijozga xos egalik sifatida hujjatlashtiradi va aynan shu farqni saqlashga arziydi.

Filial qurilmasidagi qaytish yo'li

Egalik faqat filial paketlarni uzatsa va uning LAN qanday javob berishni bilsa yordam beradi. Filial qurilmasida IPv6 uzatishni yoqing va uning LAN'idagi xostlar VPN pool uchun trafikni poolni bilmaydigan standart marshrutga emas, filial tomon qaytarishini tasdiqlang.

O'sha qaytish yo'li — odamlar IPv4 bilan duch keladigan yo'q marshrut muammosining IPv6 ekvivalenti.

Uni filialning o'zidan emas, LAN xostidan VPN pool manzilini so'rash orqali tekshiring. Yo'riqchidagi so'rov sizning foydalanuvchilaringiz beradigan savoldan boshqa savolga javob beradi va ikkalasi qo'shimcha buyruqqa arziydigan darajada tez-tez kelishmaydi.

Juftlik hali yetarli bo'lmasa

Ba'zi joylashtirishlar bu yo'lni umuman ishlatmaydi. Yadro ma'lumot yo'li va mahsulot boshqaradigan serverlar o'z qo'llab-quvvatlanadigan marshrut ishloviga ega va userspace misoli to'g'ridan-to'g'ri ko'chmasligi mumkin.

Direktivalarni boshqasi uchun yozilgan qo'llanmadan ko'chirishdan oldin qurilmangiz qaysi ma'lumot yo'lini ishlatishini tasdiqlang.

Va nihoyat, manzil doirasini esda tuting: noyob mahalliy prefiks kabi fd00:7a::/64 dizayni bo'yicha xususiy va ommaviy IPv6 yetib borilishi haqida hech narsa demaydi. Uni ichki ruxsat deb biling va internetga chiqishni o'z siyosati bo'lgan alohida masala sifatida saqlang.