IPv6pertimbangan untuk AWS Client VPN

Saat ini VPN layanan Klien tidak mendukung IPv6 lalu lintas routing melalui VPN terowongan. Namun, ada beberapa kasus ketika IPv6 lalu lintas harus diarahkan ke VPN terowongan untuk mencegah IPv6 kebocoran. IPv6kebocoran dapat terjadi ketika keduanya IPv4 dan IPv6 diaktifkan dan terhubung keVPN, tetapi VPN tidak mengarahkan IPv6 lalu lintas ke terowongannya. Dalam hal ini, saat menghubungkan ke tujuan yang IPv6 diaktifkan, Anda sebenarnya masih terhubung dengan IPv6 alamat yang disediakan oleh AndaISP. Ini akan membocorkan IPv6 alamat asli Anda. Petunjuk di bawah ini menjelaskan cara mengarahkan IPv6 lalu lintas ke VPN terowongan.

Arahan IPv6 terkait berikut harus ditambahkan ke file VPN konfigurasi Klien Anda untuk mencegah IPv6 kebocoran:

ifconfig-ipv6 arg0 arg1
route-ipv6 arg0

Contohnya mungkin:

ifconfig-ipv6 fd15:53b6:dead::2 fd15:53b6:dead::1
route-ipv6 2000::/4

Dalam contoh ini, ifconfig-ipv6 fd15:53b6:dead::2 fd15:53b6:dead::1 akan mengatur IPv6 alamat perangkat terowongan lokal menjadi fd15:53b6:dead::2 dan IPv6 alamat VPN endpoint jarak jauh menjadifd15:53b6:dead::1.

Perintah berikutnya, route-ipv6 2000::/4 akan merutekan IPv6 alamat dari 2000:0000:0000:0000:0000:0000:0000:0000 2fff:ffff:ffff:ffff:ffff:ffff:ffff:ffff ke ke VPN koneksi.

catatan

Untuk “TAP” perutean perangkat di Windows misalnya, parameter kedua ifconfig-ipv6 akan digunakan sebagai target rute untuk--route-ipv6.

Organizations harus mengkonfigurasi dua parameter ifconfig-ipv6 itu sendiri, dan dapat menggunakan alamat di 100::/64 (dari 0100:0000:0000:0000:0000:0000:0000:0000 ke0100:0000:0000:0000:ffff:ffff:ffff:ffff) atau fc00::/7 (dari fc00:0000:0000:0000:0000:0000:0000:0000 kefdff:ffff:ffff:ffff:ffff:ffff:ffff:ffff). 100::/64adalah Blok Alamat Hanya Buang, dan fc00::/7 Unik-Lokal.

Contoh lain:

ifconfig-ipv6 fd15:53b6:dead::2 fd15:53b6:dead::1
route-ipv6 2000::/3
route-ipv6 fc00::/7

Dalam contoh ini, konfigurasi akan merutekan semua IPv6 lalu lintas yang saat ini dialokasikan ke VPN koneksi.

Verifikasi

Organisasi Anda kemungkinan akan memiliki tes sendiri. Verifikasi dasar adalah mengatur VPN koneksi terowongan penuh, lalu jalankan ping6 ke IPv6 server menggunakan alamat. IPv6 IPv6Alamat server harus dalam kisaran yang ditentukan oleh route-ipv6 perintah. Tes ping ini seharusnya gagal. Namun, ini dapat berubah jika IPv6 dukungan ditambahkan ke VPN layanan Klien di masa mendatang. Jika ping berhasil dan Anda dapat mengakses situs publik saat terhubung dalam mode terowongan penuh, Anda mungkin perlu melakukan pemecahan masalah lebih lanjut. Ada juga beberapa alat yang tersedia untuk umum.