Por que preciso de outro bloco IPv6?

3

Estou tentando entender a seguinte declaração do manual do OpenVPN.

https://community.openvpn.net/openvpn/wiki/IPv6

In a routed setup, you cannot use your on-link network; you must use a unique routed network range, just like when routing with IPv4.

Em suma, isso significa que para executar o IPv6 por meio da VPN aberta (sem ocultá-lo atrás de um NAT), é necessário ter dois blocos IPv6 / 64. Ou pelo menos um bloco e um endereço IPv6 completamente separado.

Alguém pode explicar por que isso acontece?

Estou com dificuldades de entender isso, pois tenho um servidor com um bloco / 64 atribuído a ele. Do ponto de vista da rede, todo o tráfego nesse bloco deve ser enviado para o meu servidor (?). Nesse servidor, todo o tráfego para esse bloco seria enviado via VPN, se não fosse o seu próprio IP. Do ponto de vista do cliente VPN, todo o tráfego para esse bloco seria enviado via VPN, se não fosse o seu próprio IP.

Não vejo por que ter o mesmo bloco / 64 atribuído a duas interfaces causaria um problema em que o bloco inteiro é atribuído a um servidor.

    
por couling 28.06.2017 / 17:19

2 respostas

6

Você não pode ter duas redes separadas que usam o mesmo espaço de endereço. Se a porta ethernet uplink do seu servidor tiver o / 64, então a interface OpenVPN não pode ter a mesma, porque é uma rede separada.

Tecnicamente, seu servidor também não possui o / 64 inteiro. Ele terá um ou mais endereços do / 64 configurado em sua interface ethernet. Não tem como saber que seu provedor reservou o total / 64 para ele. Existem também provedores que colocam vários clientes em um / 64 compartilhado. O servidor não pode saber.

Então, para fazer isso corretamente, você precisa ter um / 64 separado para a sua rede OpenVPN, e esse / 64 tem que ser roteado através do seu servidor (observe o "through", ele não pertence ao servidor, o servidor meramente direciona o tráfego para ele, alguns dos endereços pertencerão a clientes VPN). Isso exigirá que seu provedor configure isso para você. Eles irão configurar um / 64 na rede entre seu roteador e seu servidor (que é o / 64 que você já possui) e configurar uma rota para o outro / 64 que tenha seu servidor como o próximo salto (roteador).

Outra solução seria configurar o OpenVPN no modo de camada 2 e criar uma ponte de ethernet entre a porta ethernet do seu servidor e a interface de toque do OpenVPN. Dessa forma, você não terá duas redes separadas, cada uma precisando de um / 64 separado. Você terá uma rede com uma ponte nela. Uma rede só precisa de um / 64. Você pode vincular a rede existente aos seus clientes VPN. Você terá que decidir se essa é uma solução possível para você.

    
por 28.06.2017 / 18:08
0

Uma terceira solução seria usar proxies NDP.

ip neigh adicionar proxy fd00 :: 1: 1001 dev eth0 ip neigh adicionar proxy fd00 :: 1: 1002 dev eth0 ...

Eu uso com sucesso na minha conexão dsl em casa para evitar o DHCPv6-PD.

mais detalhes aqui (Alemão) link

    
por 29.06.2017 / 07:31

Tags