Yalnız IPv6 olan şəbəkə VPN-i tunel başlamazdan əvvəl pozur

Noutbuk yalnız IPv6 paylayan konfrans Wi-Fi şəbəkəsinə qoşulur, VPN müştərisi fırlanıb uğursuz olur, halbuki eyni profil bir saat əvvəl oteldə işləmişdi. Etimad məlumatlarında heç nə dəyişməyib. Dəyişən odur ki, müştəri indi yalnız IPv6 daşıyan şəbəkə üzərindən IPv4 son nöqtəyə çatmalıdır və hər müştəri bunu necə edəcəyini bilmir.

Paketlərin keçdiyi eyni beş addımı keçin.

Addım 1: ad sorğusunu izləyin

Profil host adı istifadə edirsə, ilk sual resolverin nə qaytardığıdır. dig AAAA vpn.example.com yalnız IPv6 olan şəbəkədə real AAAA qeydi, DNS64-dən sintez edilmiş qeyd və ya heç nə qaytarmır. Sintez edilmiş cavab IPv4 təyinatını tərcümə prefiksi daxilində kodlayır və yalnız bundan sonra IPv6 son nöqtəsi olmayan müştəri ora çata bilər. IPv4 ünvanı bərkidilmiş profil heç vaxt buraya çatmır, çünki sintez ediləcək ad yoxdur.

Bu tək fərq «orada işləyir, burada uğursuz olur» hesabatlarının çoxunu izah edir və bunu görmək üçün bir əmr kifayətdir.

Addım 2: müştərinin hansı ailəni çağırdığına baxın

Tərəqqi çubuğuna deyil, soketə baxın. Yalnız IPv6 olan keçiddə IPv4 ünvana IPv4 soket açan müştərinin onu göndərəcək yeri yoxdur və uğursuzluq ad xətası kimi deyil, taym-aut kimi üzə çıxır. Müştəri qoşularkən ss -tanp uzaq ünvanı və onun cəhd etdiyi ailəni göstərir. Bunu ip -6 route ilə müqayisə edin ki, default marşrutun həqiqi IPv6 növbəti hop olduğunu təsdiqləyəsiniz.

Soket cədvəlindəki ünvan ailəsi faktdır. Tərəqqi çubuğu başqasının yazdığı xülasədir.

Addım 3: tərcüməni tuneldən ayırın

NAT64 və DNS64 giriş şəbəkəsinin IPv4 təyinatlarına çatma üsuludur və tunel qurulduqdan sonra onun üçün heç nə etmir. Tərcümə olunmuş yol üzərində qurulan tunel yenə öz daxili ünvanlaşdırmasını razılaşdırır və daxili IPv4 və ya IPv6 əhatəsi ayrıca siyasət məsələsidir. Müştəri qoşulub sonra heç yerə çatmırsa, siz tərcüməni keçib marşrutlaşdırmaya girmisiniz, bu isə başqa dəlillərlə başqa araşdırmadır.

Tərcümənin uğursuzluğu heç vaxt qoşulmamaq kimi görünür. Daxili əhatənin uğursuzluğu qoşulub heç yerə çatmamaq kimi görünür.

Addım 4: eyni profili başqa şəbəkədə sınayın

Eyni profili, müştəri versiyasını və etimad məlumatlarını iki yığımlı şəbəkəyə aparın və təkrarlayın. Orada işləyib yalnız IPv6 yolunda uğursuz olursa, dəyişən profil deyil, giriş şəbəkəsidir. Biletdə müştəri versiyasını və şəbəkə vəziyyətini qeyd edin, çünki son düzəliş müştəri yeniləməsi və ya fərqli son nöqtədir.

VPN-in pozulduğunu deyən hesabat əməliyyat üçün yararsızdır. Yalnız IPv6 girişində uğursuz olduğunu deyən hesabat səhv hesabatıdır.

Addım 5: təhlükəsizlik parametrlərini deyil, yolu düzəldin

Cəlbedici düzəlişlərin hamısı vəziyyəti pisləşdirir. IPv6-nı söndürmək şəbəkənin təklif etdiyi yeganə yolu aradan qaldırır. Müştəriyi ictimai resolverə yönəltmək DNS64 sintezini pozur, çünki bu sintez tərcüməçinin arxasındakı resolverdən gəlməlidir. Sertifikat yoxlamasını söndürmək sizə tanıya bilmədiyiniz bir şeylə bağlantı verir. Bunların heç biri düzəliş deyil və ikisi hadisədən sonra da qalacaq təhlükəsizlik reqressiyalarıdır.

Real variantlar şəbəkə tərcümə modelini dəstəkləyən müştəri və ya çatıla bilən IPv6 ünvanı olan son nöqtədir. Bunlardan birini istəyin.