/64 manzilingizni bo'lish IPv6 ni VPN mijozlariga yo'naltirmaydi

Mijoz global IPv6 manzilini ko'rsatadi, qo'l berib ko'rishish tugallandi va internetdan hech narsa qaytmaydi. Pul sozlamasi to'g'ri ko'rinadi, chunki u haqiqatan to'g'ri; manzil haqiqiy va tunnel uni tashiydi. Muvaffaqiyatsiz bo'lgan narsa yetkazib berishdir, va yetkazib berish VPN serveridan yuqorida qabul qilingan qarorga bog'liq, unga mijoz tomonidagi hech qanday konfiguratsiya ta'sir qila olmaydi.

Afsona: /64 manzilingizning bir qismi allaqachon yetib boriladigan

Hikoya jozibali: serverda ommaviy /64 bor, uni ikkiga bo'ling, ikkinchi yarmini VPN puliga bering, va o'sha mijozlar endi internetda. Prefiksni bo'lish haqiqatan ham to'qnashuvlarsiz manzillar ajratadi. Lekin bu upstream tarmog'ining o'sha manzillardan biriga mo'ljallangan paket qayerga borishini qanday hal qilishini o'zgartirmaydi.

IPv6 da tayanish mumkin bo'lgan standart tarjima qatlami yo'q, shuning uchun qaytish yo'li marshrutlash yoki kanal darajasidagi yetkazib berish sifatida mavjud bo'lishi kerak. Mijozning tunnel manziliga yo'naltirilgan paket upstream marshrutizatoriga yetib boradi va u o'z jadvalidan uzatish qarorini qabul qiladi. Agar jadval jismoniy kanalni ko'rsatsa, paket u yerga boradi, VPN serveringiz nima deb o'ylashidan qat'i nazar.

Bu butun muvaffaqiyatsizlik: oldinga yo'nalish ishlaydi, chunki uni serveringiz yuboradi, orqaga yo'nalish esa bir hop masofada o'ladi, chunki upstream mijoz mavjudligini hech qachon bilmagan.

Kanaldagi yetkazib berish aslida nimani talab qiladi

Upstream butun /64 ni jismoniy kanalda deb hisoblaganda, har bir manzil manzilini qo'shnilarni aniqlash orqali hal qiladi. U shu kanalga so'rov yuboradi va manzil egasi javob berishini kutadi. Tunnel ortida o'tirgan VPN mijozi bu kanalda emas va javob bera olmaydi, shuning uchun so'rov javobsiz qoladi va paket tashlab yuboriladi.

/65 ni kesib ajratish bu kutishni o'zgartirmaydi. Upstream hali ham diapazonni kanalda deb hisoblaydi, chunki uning fikrini o'zgartiradigan yagona narsa — mijoz nomidan javob beradigan marshrut yoki proksi. Ikkalasi ham ko'rinmaydi, chunki siz VPN konfiguratsiyasini tahrirladingiz. Aynan shu bo'shliq pulning o'z mijozlari orasida mukammal ishlab, baribir boshqa har qanday joydan yetib bo'lmaydigan bo'lishiga sabab.

Proksi orqali qo'shnilarni aniqlash ikki dunyoni bog'lay oladigan mexanizmdir. Gateway o'zi egalik qiladigan muayyan mijoz manzillari uchun so'rovlarga javob beradi va trafikni tunnelga uzatadi. Bu ishlaydi va pulni kuzatadigan hayot tsikli bilan aynan o'sha manzillar bilan cheklanishi kerak, chunki endi xizmat ko'rsatmaydigan manzil uchun javob berish boshqa birovning trafigini qora tuynukka aylantiradi. Ba'zi upstreamlar kutmagan proksi javoblarini qabul qilmaydi, shuning uchun bu dizayn provayderning roziligini ham talab qiladi.

Marshrutlangan yetkazib berish nimani talab qiladi

Tozaroq dizayn — bu upstream haqiqatan gatewayingizga marshrutlaydigan ajratma. Bu delegatsiya qilingan prefiks yoki kichikroq blok uchun statik marshrut bo'lishi mumkin, va talab ikkala holatda ham bir xil: upstream jadvali mijoz diapazoni uchun serveringizni ko'rsatishi kerak. Keyin qaytish trafigi gatewayga yetib boradi va gateway uni tunnelga uzatadi.

Marshrutlangan yetkazib berish qo'shnilarni aniqlash savolini butunlay olib tashlaydi, shuning uchun aqlli narsa qurishdan oldin buni provayderdan so'rashga arziydi. Marshrutni yozma ravishda so'rang va keyingi hop upstream haqiqatan yeta oladigan manzil ekanligini tasdiqlang.

Ikkala dizayn ham hali ham gatewayda IPv6 uzatish yoqilgan bo'lishini va uzatilgan oqimga ikki yo'nalishda ruxsat beradigan xavfsizlik devori qoidalarini talab qiladi. Yetkazib berish — qolgan yo'l uchun shart, o'rinbosar emas. Uzatish o'chirilgan ishlaydigan marshrut yo'q marshrut bilan aynan bir xil sukunat hosil qiladi, shuning uchun biron narsani qayta loyihalashdan oldin ikkalasini ham tekshiring.

To'g'ri sozlanishi kerak bo'lgan ikki mustaqil marshrut

Pul prefiksi va mijozning o'z standart marshruti alohida sozlamalar, va ularni aralashtirish buzuq tunnelga o'xshaydigan qisman ulanishni hosil qiladi. Pul serverga qaysi manzillarni berishni aytadi. Mijozning marshrutlari mijoz qaysi manzillarga trafikni tunnelga yuborishini hal qiladi.

server-ipv6 2001:db8:42:100::/64
push "redirect-gateway ipv6 !ipv4"

Yuqoridagi prefiks hujjat maydoni, va qayta yo'naltirish faqat IPv6 ga tegishli, bu esa IPv6 yetkazib berish hali tuzatilayotganda ikki qatlamli joylashtirish ko'pincha xohlaydigan narsadir. IPv4 qayta yo'naltirish IPv6 qamrovini o'rnatmaydi, va hech bir sozlama ikkinchisini nazarda tutmaydi.

Qo'llaydigan har qanday siyosat ostida IPv6 bog'liq bo'lgan boshqaruv trafigini ishlab tursin. Packet Too Big xabarlari faqat TCP va UDP ga ruxsat beradigan xavfsizlik devorining klassik qurboni, va ularni tashlash o'rnatilgan, keyin kattaroq uzatishlarda to'xtab qoladigan ulanishlarni hosil qiladi.

Marshrutizator e'lonlari uchinchi harakatlanuvchi qismdir. Agar gateway yuqori kanalda e'lon qilishni boshlasa, bu mijozlar va qo'shnilarning kanaldagi prefikslar haqidagi fikrini o'zgartirishi mumkin, bu esa hozir hujjatlashtirgan dizaynni jimgina bekor qilishi mumkin.

Dizaynni yozib qo'ying, qayta qurish uni takrorlasin

Uchta obyektni alohida yozing: mijoz ajratmasi, mijozning manzil marshruti va ajratma uchun upstreamning yetkazib berish usuli. Uchchalasiga ega o'quvchi joylashtirishni qayta qurishi mumkin; faqat pul sozlamasiga ega o'quvchi asl xatoni takrorlaydi.

Keyin qaytish yo'nalishini aniq sinab ko'ring, tashqaridan qaytishi shart bo'lgan paket bilan. openvpn(8) qo'llanmasi server-ipv6 va redirect opsiyalarini qamrab oladi, va provayderingizning marshrutlash tasdig'i qo'llanma qamrab ololmaydigan yarmini qamrab oladi.