شبكة تعمل بـ IPv6 فقط تكسر الـ VPN قبل أن يبدأ النفق

ينضم الحاسوب المحمول إلى شبكة Wi-Fi في مؤتمر لا توزّع إلا IPv6، فيدور عميل VPN ثم يفشل، مع أن الملف نفسه عمل في فندق قبل ساعة. لم يتغيّر شيء في بيانات الاعتماد. الذي تغيّر هو أن على العميل الآن أن يصل إلى نقطة نهاية IPv4 عبر شبكة لا تحمل إلا IPv6، وليس كل عميل يعرف كيف يفعل ذلك.

امشِ الخطوات الخمس نفسها التي تمشيها الحزم.

الخطوة 1: راقب استعلام الاسم

إذا كان الملف يستخدم اسم مضيف، فالسؤال الأول هو ما يعيده المترجم. يعيد dig AAAA vpn.example.com على الشبكة التي تعمل بـ IPv6 فقط سجل AAAA حقيقيًا، أو سجلًا مُصطنعًا من DNS64، أو لا شيء على الإطلاق. يرمّز الجواب المُصطنع وجهة IPv4 داخل بادئة ترجمة، وعندها فقط يستطيع عميل بلا نقطة نهاية IPv6 الوصول إليه. أما الملف الذي يحمل عنوان IPv4 مكتوبًا مباشرة فلا يبلغ هذه المرحلة أبدًا، لأنه لا يوجد اسم لاصطناعه.

هذا الفرق الواحد يفسّر معظم تقارير «يعمل هناك ويفشل هنا»، ولا يلزم إلا أمر واحد لرؤيته.

الخطوة 2: انظر أي عائلة اتصل بها العميل

راقب المقبس بدلًا من شريط التقدّم. العميل الذي يفتح مقبس IPv4 إلى عنوان IPv4 على وصلة لا تحمل إلا IPv6 ليس لديه أين يرسله، ويظهر الفشل كمهلة انتظار لا كخطأ اسم. يُظهر ss -tanp أثناء اتصال العميل العنوان البعيد والعائلة التي حاولها. قارن ذلك بـ ip -6 route لتتأكد من أن المسار الافتراضي هو قفزة IPv6 تالية حقيقية.

عائلة العناوين في جدول المقابس هي الحقيقة. شريط التقدّم خلاصة كتبها شخص آخر.

الخطوة 3: افصل الترجمة عن النفق

إن NAT64 وDNS64 هما كيفية وصول شبكة الوصول إلى وجهات IPv4، ولا تفعلان شيئًا للنفق بعد قيامه. النفق المُقام عبر مسار مترجم لا يزال يتفاوض على عنونته الداخلية، وتغطية IPv4 أو IPv6 الداخلية مسألة سياسة منفصلة. إذا اتصل العميل ثم لم يصل إلى شيء، فأنت تجاوزت الترجمة ودخلت التوجيه، وهو تحقيق آخر بأدلة أخرى.

فشل الترجمة يبدو كعدم الاتصال أبدًا. فشل التغطية الداخلية يبدو كاتصال بلا وصول إلى شيء.

الخطوة 4: اختبر الملف نفسه على شبكة أخرى

خذ الملف نفسه وإصدار العميل وبيانات الاعتماد إلى شبكة مزدوجة المكدس وكرّر. إن نجح هناك وفشل على المسار الذي يعمل بـ IPv6 فقط، فالمتغيّر هو شبكة الوصول لا الملف. سجّل إصدار العميل وحالة الشبكة في التذكرة، لأن الإصلاح النهائي تحديث للعميل أو نقطة نهاية مختلفة.

التقرير الذي يقول إن الـ VPN معطوب غير قابل للتنفيذ. التقرير الذي يقول إنه يفشل فقط على وصول يعمل بـ IPv6 فقط هو تقرير خطأ.

الخطوة 5: أصلح المسار، لا إعدادات الأمان

الإصلاحات المُغرية كلها تزيد الأمور سوءًا. تعطيل IPv6 يزيل المسار الوحيد الذي تقدّمه الشبكة. توجيه العميل إلى مترجم عام يكسر اصطناع DNS64، لأن ذلك الاصطناع يجب أن يأتي من المترجم الذي خلف المترجم. إيقاف التحقق من الشهادة يمنحك اتصالًا بشيء لا تستطيع تحديد هويته. لا شيء من ذلك إصلاح، واثنان منها انتكاستان أمنيتان ستعيشان بعد الحادثة.

الخيارات الحقيقية هي عميل يدعم نموذج ترجمة الشبكة، أو نقطة نهاية بعنوان IPv6 يمكن الوصول إليه. اطلب أحد هذين.