DS-Lite блакуе ўваходны хостынг IPv4, а не зыходны VPN

Стан трансляцыі прытрымліваецца боку, які пачынае злучэнне. Прасачыце зыходны запыт праз B4 і AFTR, а затым паглядзіце, чаму хостынг не працуе.

DS-Lite — гэта спосаб даць кліенту злучэнне IPv4 праз сетку доступу, якая перадае толькі IPv6. Хатні маршрутызатар не мае ўласнага выдзеленага публічнага адраса IPv4, і гэты адзіны факт пераконвае людзей, што VPN праз IPv4 не можа працаваць з такога злучэння. У зыходным кірунку звычайна ўсё працуе. Злучэнне транслуе правайдэр, і далёкі бок бачыць звычайнага кліента IPv4. Ламаецца супрацьлеглы кірунак: хостынг таго, што чакае незапатрабаваны ўваходны IPv4. Розніца ў тым, які бок пачынае размову.

Які бок пачынае злучэнне

Кліент, які ініцыюе злучэнне, стварае стан трансляцыі па ходзе справы. Транслятар правайдэра бачыць першы пакет, выдзяляе адлюстраванне і перасылае яго. Зваротны трафік адпавядае гэтаму адлюстраванню, бо адлюстраванне ўжо існуе.

Сервер, які чакае злучэнняў, не мае такога стану, каб яго стварыць. Хтосьці звонку павінен дасягнуць адраса і порта, якія правайдэр не пагадзіўся адлюстроўваць, а гэта зусім іншы запыт.

Прасачыце зыходны запыт

Архітэктура RFC 6333 называе абодва бакі. Элемент на баку кліента — гэта B4, які інкапсулюе IPv4 у IPv6. Элемент на баку правайдэра — гэта AFTR, які выконвае трансляцыю адраса і перасылае пакет як IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Сервер VPN атрымлівае звычайнае злучэнне IPv4 з трансляванага адраса правайдэра. Яму не патрэбны рэжым DS-Lite, спецыяльны порт ці веданне таго, што сетка доступу кліента — толькі IPv6. Менавіта гэта людзі прапускаюць: далёкі бок не можа гэтага вызначыць.

Уласная канфігурацыя кліента гэтак жа звычайная. Ёй патрэбны працоўны шлях IPv4 да сервера, які забяспечваюць B4 і AFTR, і ёй патрэбна, каб імя хоста сервера развязалася ў адрас IPv4.

Чаму ўваходны хостынг — гэта той выпадак, які не працуе

Запуск сервера VPN на аснове IPv4 дома — гэта рашэнне, якое сутыкаецца з агульнай адрасацыяй правайдэра. Транслятар правайдэра валодае публічным адрасам і табліцай адлюстравання і не мае прычын ствараць пастаяннае ўваходнае адлюстраванне для аднаго абанента.

Правіла перанакіравання порта на хатнім маршрутызатары не можа наладзіць AFTR. Правіла рэальнае і правільнае на лакальнай прыладзе, і яно нічога не змяняе вышэй па плыні, таму сімптом выглядае як праблема брандмаўэра, якая не праходзіць.

Менавіта тут трансляцыя аператарскага ўзроўню адрозніваецца ад аднаго публічнага адраса: нават правільнае лакальнае перанакіраванне можа трапіць на адрас, які дзеляць шмат абанентаў.

Дыягнастуйце, перш чым мяняць план доступу

Спачатку пацвердзіце прадстаўлены рэжым. Уласны двайны стэк, DS-Lite і сетка толькі з IPv6, якая выкарыстоўвае іншы механізм трансляцыі, — гэта тры розныя ўладкаванні, і маркетынгавыя назвы правайдэра не заўсёды супадаюць з тэхнічнай.

Затым зафіксуйце чатыры назіранні для зыходнай няўдачы. Ці развязвае кліент імя хоста VPN у пункт прызначэння IPv4? Ці працуе простае злучэнне IPv4, а не запыт браўзера, які мог ціха выкарыстаць IPv6? Які транспарт і порт спрабуе кліент, і ці бачаць журналы канчатковага пункта гэтую спробу ўвогуле? Ці здараецца няўдача падчас пачатковага абмену, пасля перыяду прастою або толькі на большых перадачах?

Гэтыя чатыры адказы паказваюць на фільтраванне, спячэнне стану трансляцыі, няправільны канчатковы пункт або апрацоўку памеру пакета. Нішто з гэтага не ўстанаўліваецца тым, што вы бачыце DS-Lite на старонцы ўліковага запісу.

Чытайце змены правайдэра ўважліва

Змена ўліковага запісу можа супасці з працоўным злучэннем, але змяніць некалькі ўласцівасцей адразу. Запішыце, якая ўласцівасць змянілася, бо новая назва пакета — не тэхнічнае тлумачэнне.

Інструкцыя ўключыць двайны стэк неадназначная, пакуль хтосьці не пацвердзіць, што правайдэр фактычна прадстаўляе. Калі лічыць яе ўніверсальнай патрабаваннем для кліентаў VPN на IPv4, здагадка ператвараецца ў палітыку.

Калі сапраўднае патрабаванне — уваходны хостынг IPv4, абмяркуйце з правайдэрам падтрыманае ўваходнае ўладкаванне, уласную адрасацыю або іншую схему доступу. Калі патрабаванне — ноўтбук, які дасягае далёкага сервера, спытайце замест гэтага пра менавіта гэтую зыходную плынь. Парадак работы: назавіце кірунак, пацвердзіце прадстаўлены рэжым, праверце просты IPv4 і адзін транспарт, а затым мяняйце план доступу толькі калі кірунак сапраўды гэтага патрабуе.

Падобныя артыкулы