IPv6 link-local kò ṣiṣẹ́ lórí VPN: kí ni ìdí tí fe80 fi dúró ní ọ̀nà

O gbé orí òpópó náà sókè, o fi òpópó náà ṣe ojú-ọ̀nà orísun, o sì píng fún fe80::1, kò sí ohun tí ó padà. Èyí kìí ṣe ìlànà firewall tí o gbà gbé. Àdírẹ́sì link-local ní ìtumọ̀ lórí ọ̀nà kan ṣoṣo tí ó ti dá, VPN tí a tọ́ sọ́nà kìí ṣe ọ̀nà yẹn. fe80::1 ti router tí ó jìnnà wà ní apá LAN tí ó jìnnà; o wà ní ìgbésẹ̀ kan síwájú ní apá mìíràn, IPv6 kò sì ní ọ̀nà kankan fún router láti gbé àwọn pákítì link-local kọjá rárá.

Àmì-ìbẹ̀rẹ̀ fe80 ń ṣàpèjúwe ìwọ̀n, kìí ṣe ìpele

Link-local unicast ni fe80::/10, àti pé ohun tí ó ń ṣàlàyé kìí ṣe nọ́mbà bí kò ṣe ìwọ̀n. Àdírẹ́sì wúlò lórí ọ̀nà kan ṣoṣo, ojú-ọ̀nà kọ̀ọ̀kan sì ń dá ọ̀kan láti inú àmì ìdánimọ̀ tirẹ̀, ìdí niyẹn tí ẹ̀rọ méjì tí kò ní ìbáṣepọ̀ lórí nẹ́tíwọ́kì méjì tí kò ní ìbáṣepọ̀ lè dájú fún fe80::1 láìsí ìforígbárí kankan. Àmì-ìbẹ̀rẹ̀ náà ń sọ “lórí ọ̀nà kan” ní pàtàkì; ọ̀nà náà fúnra rẹ̀ wá láti inú àyíká.

Lórí host, àyíká yẹn ni agbègbè, tàbí scope ID, tí o ń fi kún lẹ́yìn àmì ìpín-ọgọ́rùn-ún: fe80::1%eth0 lórí Linux, fe80::1%3 tàbí fe80::1%12 lórí Windows àti nínú àwọn irinṣẹ́ tí ń fi àwọn atọ́ka ojú-ọ̀nà hàn. Kernel ń yanjú àdírẹ́sì pẹ̀lú atọ́ka ojú-ọ̀nà kí ó sì rán an. Tí o bá yọ agbègbè náà kúrò, ibi tí a ń lọ yóò di àìdájú, nítorí náà kò sí ọ̀nà fún stack láti yan apá kan.

Ìdí tí òpópó tí a tọ́ sọ́nà kò fi lè gbé e dé

VPN tí a tọ́ sọ́nà jẹ́ ojú-ọ̀nà ojú-ọ̀nà tí ń gbé àwọn àdírẹ́sì tirẹ̀, ní ọ̀pọ̀ ìgbà /64 ti IPv6 unique-local tàbí ti ìkọ̀kọ̀ nínú òpópó. LAN tí ó jìnnà jẹ́ ọ̀nà ọ̀tọ̀, tí a ń dé nípasẹ̀ ìparí òpópó tí ń tọ́ sọ́nà àti ń gbé kọjá fún ọ. Ìwọ̀nyí jẹ́ apá méjì ọ̀tọ̀, nítorí náà àdírẹ́sì láti apá kan kìí ṣe ibi tí ó tọ́ lórí apá kejì.

Ìlànà ìgbékọjá wà ní kedere nínú ìlànà, kìí ṣe ohun àrà ti ẹ̀rọ rẹ: àwọn router kìí gbé àwọn pákítì tí ó ní orísun tàbí ibi tí ó ń lọ link-local kọjá. Ìdí niyẹn tí pákítì náà fi ń kú pàápàá nígbà tí tábìlì ìtọ́sọ́nà dàbí ẹni tí ó tọ́. Fi ọ̀nà kún fún fe80::/64 tí ó ń tọ́ sí òpópó, stack tí ó tẹ̀lé ìlànà yóò kọ̀ ọ́ tàbí gbà á kí ó sì já kọ́ọ̀kọ̀ọ̀kan pákítì tí ó bá mu: ìwọ̀n ibi tí ó ń lọ sọ “ọ̀nà yìí nìkan”, ojú-ọ̀nà tí ó ń jáde kìí ṣe ọ̀nà yẹn.

Ìṣàwárí aládùúgbò ń mú ààlà kan náà le. Àwọn host ń yanjú àwọn ìgbésẹ̀ tí ó kàn link-local pẹ̀lú ìbéèrè aládùúgbò tí a rán sí multicast ìwọ̀n ọ̀nà pẹ̀lú ààlà ìgbésẹ̀ 255, nítorí náà àwọn router lè kọ̀ ohunkóhun tí a gbé kọjá. Ṣíṣe èyí láti ṣiṣẹ́ kọjá òpópó yóò túmọ̀ sí ṣíṣe proxy ìṣàwárí fún apá tí ó jìnnà, èyí tí ó jẹ́ afárá Layer 2 pẹ̀lú fìlà mìíràn.

Àìṣeéṣe kejì tí ó dákẹ́ jẹ́ẹ́ wà, ó sì ń mú àwọn tí ó ṣì ń gbìyànjú láti fipá mú ọ̀nà náà: agbègbè. Agbègbè èyíkéyìí tí o bá tẹ níbílẹ̀ ń dárúkọ ojú-ọ̀nà òpópó, nígbà tí àdírẹ́sì tí o fẹ́ so mọ́ ojú-ọ̀nà LAN tí ó jìnnà. Àwọn méjèèjì kìí bá ara wọn mu láé, nítorí náà a kò lè darí pákítì náà sí ojú-ọ̀nà tí ó tọ́ ní ìparí tí ó jìnnà.

Bí àìṣeéṣe ṣe rí ní ìṣe

Ìjáde irinṣẹ́ fún àṣìṣe ìwọ̀n ń kà bí àṣìṣe ìtọ́sọ́nà tàbí firewall, ìdí niyẹn pàápàá tí àwọn ènìyàn fi ń lo ọ̀sán kan ní ìpele tí kò tọ́.

Ìlà kẹta ń sọ àkókò tí ó pọ̀ jù lọ nù, nítorí ẹ̀rọ ssh tí kò ní ìjáde dàbí ìṣòro iṣẹ́ tí ń gbọ́rọ̀. Tí o bá ní ọ̀nà èyíkéyìí láti wọlé, yẹ apá tí ó jìnnà wò kí o sì jẹ́rìí bóyá sshd so mọ́ gbogbo àwọn àdírẹ́sì tàbí ọ̀kan ṣoṣo.

Lo àdírẹ́sì tí a ṣe fún ìtọ́sọ́nà

Fún ohunkóhun tí o ní láti dé nípasẹ̀ òpópó, lo àdírẹ́sì tí a fún iṣẹ́ náà fún ìdí yẹn gan-an: àdírẹ́sì unicast àgbáyé, tàbí àdírẹ́sì unique-local láti inú fc00::/7, ìpele tí a yà sọ́tọ̀ fún ọ̀rọ̀ inú yìí gan-an. Jẹ́rìí pé olùgbọ́rọ̀ náà so mọ́ ọn ní tòótọ́, kí o sì yẹ ipa-ọ̀nà ìpadà àti ìlànà firewall èyíkéyìí ti host náà wò.

Wo host tí ó jìnnà dípò ṣíṣe àdìsí. ip -6 addr show ń ṣe àkójọ àwọn àdírẹ́sì tí ó wà, ss -6 -ltn sì ń ṣe àkójọ ohun tí daemon ń gbọ́rọ̀. Iṣẹ́ tí a so mọ́ fe80:: nìkan ni a lè dé ọ̀dọ̀ rẹ̀ láti apá tirẹ̀ nìkan, èyí tí ó sábà jẹ́ ìpilẹ̀ tí ẹnikẹ́ni kò yàn ní àmọ̀ràn, a sì lè yí padà pẹ̀lú ìfọwọ́sí alábòójútó.

Nígbà tí iṣẹ́ náà kò bá lè so mọ́ ọn mọ́ lẹ́ẹ̀kan sí i gan-an, gbé afárá náà sókè sí ìpele ètò dípò ìpele nẹ́tíwọ́kì. Relay lórí host tí ó jìnnà tí ń gbọ́rọ̀ lórí àdírẹ́sì tí a lè tọ́ sọ́nà tí ó sì so mọ́ link-local ń yanjú ìṣòro náà láìfa apá kankan gbòòrò:

socat TCP6-LISTEN:8080,bind=[fd00:1:2::10] TCP6:[fe80::1%eth0]:80

Níbí agbègbè wà ní ẹ̀gbẹ́ tí ó tọ́, lórí host tí ó ní eth0 gan-an lórí ọ̀nà yẹn. Ẹ̀rọ rẹ ń bá fd00:1:2::10 sọ̀rọ̀, tí a ń tọ́ sọ́nà ní àdáyébá, relay sì ń ṣe ìgbésẹ̀ link-local níbílẹ̀. Ẹ̀kọ́ kan náà ń ṣiṣẹ́ fún UI wẹ́ẹ̀bù ti ẹ̀rọ tàbí BMC àtijọ́ tí ń kéde àdírẹ́sì link-local nìkan.

Nígbà tí afárá jẹ́ ìdáhùn gan-an, àti ohun tí a gbọ́dọ̀ yẹ̀wò

Àwọn ìgbékalẹ̀ kan nílò apá kan tí a pín gan-an: ẹ̀rọ tí ń sọ̀rọ̀ ìṣàwárí link-local nìkan, ohun èlò tí ó gbára lé multicast, yàrá ìdánwò tí ń tún LAN pẹlẹbẹ ṣe. Ìṣòro Layer 2 niyẹn, ó sì nílò ìdáhùn Layer 2, bí ẹ̀rọ tap tí a fi afárá so mọ́ ojú-ọ̀nà tí ó jìnnà tàbí ọjà ẹ̀rọ tí ó ní ipò afárá tí ó kedere. Èyí ń ná ọ ní ìrìnàjò broadcast àti multicast tí ń kọjá òpópó pẹ̀lú ìṣàwárí aládùúgbò tí ó gbọ́dọ̀ ṣiṣẹ́ láti ìparí dé ìparí.

Má ṣe sún mọ́ èyí nípasẹ̀ fífi fe80::/64 kún profáìlì tí a tọ́ sọ́nà. Èyí ń dá ipò tí ó burú jù: ìṣeto náà dàbí ẹni tí ó ti parí, tábìlì ìtọ́sọ́nà fi àkọsílẹ̀ kan hàn, gbogbo pákítì sì ṣì ń já kọ́ọ̀kọ̀ọ̀kan níbìkan láàrin stack méjì tí àwọn méjèèjì ń hùwà tí ó tọ́.

Jẹ́rìí pẹ̀lú ojú-ọ̀nà dípò pẹ̀lú ping. ip -6 addr show tun0 ń sọ bóyá ọ̀nà òpópó dá àdírẹ́sì link-local tirẹ̀, ip -6 route get fe80::1%tun0 sì ń sọ ohun tí kernel yóò ṣe gan-an pẹ̀lú ibi tí ó ní ìwọ̀n. Nígbà tí kernel bá sọ pé a kò lè dé ibi tí ó ń lọ lórí ojú-ọ̀nà yẹn, kò sí ìṣeto òpópó tí yóò yí i padà, àkókò sì ti dé láti jáwọ́ ṣíṣe àtúnṣe profáìlì.

Ìtẹ̀lé kúkúrú tí ó ń parí ìbéèrè náà:

• Ka àdírẹ́sì lórí host tí ó jìnnà kí o sì ṣàkíyèsí bóyá fe80:: ni tàbí àmì-ìbẹ̀rẹ̀ tí a lè tọ́ sọ́nà.
• Tí ó bá jẹ́ fe80::, so iṣẹ́ náà mọ́ ọn mọ́, ṣe relay lórí host yẹn, tàbí fi afárá so apá náà; tí ó bá lè tọ́ sọ́nà, tún ọ̀nà, firewall tàbí àdírẹ́sì ìsopọ̀ ṣe.
• Àtúnyẹ̀wò agbègbè ní gbogbo ìgbà tí o bá tún ṣe ìdánwò, nítorí pé àṣẹ tí a dà kọ sábà ń pa ojú-ọ̀nà tí kò tọ́ mọ́.

Àwọn orísun: RFC 4291, ìṣètò àdírẹ́sì IPv6.