IPv6 qua VPN: tiền tố được ủy quyền không phải là bể địa chỉ

Cùng một ngày có hai yêu cầu đến: một máy tính xách tay cần IPv6 qua đường hầm, và một site nhỏ muốn IPv6 cho các thiết bị phía sau bộ định tuyến của mình. Cả hai đều được trả lời bằng một địa chỉ, và cái thứ hai sau đó mất một tuần thất bại. Vai trò khác nhau, và cơ chế, cấu hình cùng phép kiểm tra chứng minh nó hoạt động cũng khác nhau. Hướng dẫn này giữ chúng tách biệt.

Bước một: quyết định bạn đang phục vụ vai trò nào

Một máy chủ đơn lẻ cần một địa chỉ trên giao diện đường hầm của nó, một tuyến đến phía xa và không có gì ở phía dưới cần đánh số. Bộ định tuyến phía sau đường hầm cần cả một mạng mà nó có thể chia phát, cộng thêm một tuyến ở phía xa trỏ các địa chỉ đó quay lại nó. Những gì nằm sau đường hầm quyết định mọi quyết định tiếp theo.

Hãy trả lời câu hỏi đó trước khi mở bất kỳ cấu hình nào. Mọi thứ sau bước này phụ thuộc vào câu trả lời bạn đã đưa ra.

Bước hai: gán địa chỉ cho một máy chủ đơn lẻ

Gán địa chỉ đường hầm, xác nhận độ dài tiền tố mà sản phẩm mong đợi, và kiểm tra xem máy khách có cài một tuyến cho dải từ xa thay vì gửi nó đến cổng mặc định cục bộ hay không. Một /128 trên giao diện đường hầm là bình thường với liên kết điểm-điểm, trong khi một /64 ở đó lại đòi một mạng mà không ai ủy quyền. Hai đầu ra giải quyết câu hỏi: bảng địa chỉ và bảng tuyến, được đọc ở cả hai đầu. Hãy đọc chúng cùng nhau, vì một tuyến trỏ đến giao diện sai là lỗi phổ biến nhất ở bước này.

Xác minh bằng bảng địa chỉ và bảng tuyến ở cả hai đầu, rồi gửi một yêu cầu. Nếu yêu cầu đi ra đúng và không có gì quay về, lỗi nằm ở tuyến của phía xa chứ không phải ở địa chỉ của máy khách.

Bước ba: ủy quyền cho một bộ định tuyến phía sau đường hầm

Ủy quyền tiền tố là một cơ chế riêng so với việc gán địa chỉ, với yêu cầu riêng và hợp đồng thuê riêng. Phía ủy quyền phải được cấu hình để cấp một tiền tố đủ lớn cho mạng phía dưới, và bộ định tuyến yêu cầu phải đánh số giao diện bên trong của nó từ tiền tố đó.

Đừng cho rằng bể phục vụ máy khách di động có thể ủy quyền. Nhiều sản phẩm VPN chỉ gán địa chỉ đơn lẻ và hoàn toàn không có vai trò ủy quyền, và một tiền tố của nhà cung cấp đến biên của bạn không tự động được chuyển tiếp cho một đối tác. Hãy ghi lại bể nào phục vụ vai trò nào, vì cả hai được cấu hình ở những nơi khác nhau.

Bước bốn: làm rõ tuyến quay về

Cả hai đầu phải thống nhất đối tác nào mang tiền tố nào. Ở phía xa, thêm tuyến cho mạng được ủy quyền trỏ về đường hầm, và xác nhận rằng không có dải chồng lấn nào đã đòi nó.

Một tiền tố hợp lệ không có tuyến quay về tạo ra một kế hoạch địa chỉ gọn gàng và không có kết nối. Một tuyến không có quy tắc truy cập phơi bày site nhiều hơn dự định, nên hãy ghép hai thay đổi trong cùng một cửa sổ và giữ trạng thái nửa áp dụng tránh xa người dùng.

Bước năm: xác minh từ phía sau bộ định tuyến

Chạy các phép kiểm tra theo thứ tự: địa chỉ giao diện đường hầm trên máy khách, tiền tố được ủy quyền trên giao diện bên trong, tuyến của phía xa về phía tiền tố đó, và cuối cùng là một yêu cầu từ một thiết bị phía sau bộ định tuyến. Dùng một đích bạn kiểm soát để có thể phân biệt chặn im lặng với tuyến bị thiếu. Bước nào làm bạn ngạc nhiên thì đó là bước cần sửa trước khi tiếp tục.

Làm phép kiểm tra cuối hai lần, một lần từ chính bộ định tuyến và một lần từ một thiết bị phía sau nó. Một bộ định tuyến đến được đích trong khi máy khách của nó không đến được là vấn đề ủy quyền hoặc chuyển tiếp, không phải vấn đề ở phía trên.

Hoàn tác

Lưu cấu hình địa chỉ trước đó trước khi thay đổi, và ghi lại bạn đã thay đổi cơ chế nào trong hai cơ chế. Gỡ một tiền tố được ủy quyền mà không gỡ tuyến sẽ để lại một lỗ đen, và gỡ tuyến mà không gỡ tiền tố sẽ để lại những địa chỉ mà không gì đến được. Ghi hai thay đổi riêng ra, vì hoàn tác một cái trong khi giữ cái kia khiến site chỉ không đến được theo một hướng.

Nếu một sản phẩm hóa ra không hỗ trợ vai trò bạn cần, hãy dừng lại và thay đổi thiết kế thay vì kéo giãn một trường của máy khách để chứa một dải mà nó chưa bao giờ được dành cho. Một ca hỗ trợ được trả lời bằng cơ chế sai tốn kém hơn so với việc thay đổi thiết kế.