DS-Lite блокира входящ хостинг на IPv4, а не изходящ VPN

Състоянието на транслацията следва страната, която започва връзката. Проследете изходяща заявка през B4 и AFTR и вижте защо хостингът вместо това се проваля.

DS-Lite е начин да се даде на клиента IPv4 свързаност през достъпна мрежа, която пренася само IPv6. Домашният рутер няма собствен отделен публичен IPv4 адрес и този единствен факт убеждава хората, че IPv4 VPN не може да работи от такава връзка. В изходяща посока обикновено работи добре. Връзката се транслира от доставчика и далечната страна вижда обикновен IPv4 клиент. Счупва се обратната посока: хостинг на нещо, което очаква непоискан входящ IPv4. Разликата е коя страна започва разговора.

Коя страна започва връзката

Клиент, който инициира връзка, създава състояние на транслация в движение. Транслаторът на доставчика вижда първия пакет, отделя съпоставяне и го препраща. Връщащият трафик съвпада с това съпоставяне, защото съпоставянето вече съществува.

Сървър, който чака връзки, няма такова състояние, което да създаде. Някой отвън трябва да достигне до адрес и порт, които доставчикът не е приел да съпоставя, а това е съвсем друга заявка.

Проследете изходяща заявка

Архитектурата в RFC 6333 назовава двата края. Елементът от страна на клиента е B4, който инкапсулира IPv4 в IPv6. Елементът от страна на доставчика е AFTR, който извършва транслацията на адреса и препраща пакета като IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

VPN сървърът получава нормална IPv4 връзка от транслирания адрес на доставчика. Той не се нуждае от режим DS-Lite, от специален порт или от знание, че достъпната мрежа на клиента е само IPv6. Именно това хората пропускат: далечната страна не може да разбере.

Собствената конфигурация на клиента е също толкова обикновена. Тя се нуждае от работещ IPv4 път до сървъра, който B4 и AFTR осигуряват, и от това името на хоста на сървъра да се разрешава до IPv4 адрес.

Защо входящият хостинг е случаят, който се проваля

Да поддържаш IPv4 VPN сървър у дома е решение, което се сблъсква с общата адресация на доставчика. Транслаторът на доставчика притежава публичния адрес и таблицата за съпоставяне и няма причина да създава постоянна входяща връзка за един абонат.

Правило за пренасочване на порт на домашния рутер не може да конфигурира AFTR. Правилото е реално и правилно на локалното устройство и не променя нищо по-нагоре по веригата, затова симптомът изглежда като проблем със защитна стена, който не изчезва.

Тук транслацията на ниво оператор се различава от един публичен адрес: дори правилно локално пренасочване може да попадне на адрес, който много абонати споделят.

Диагностицирайте, преди да променяте плана за достъп

Първо потвърдете предоставения режим. Вградените двоен стек, DS-Lite и мрежа само с IPv6, използваща друг механизъм за транслация, са три различни подредби и маркетинговите имена на доставчика не винаги съвпадат с техническото.

След това установете четири наблюдения за изходящ отказ. Разрешава ли клиентът името на VPN хоста до IPv4 дестинация? Работи ли обикновена IPv4 свързаност, вместо заявка от браузър, която може тихо да е използвала IPv6? Какъв транспорт и порт опитва клиентът и виждат ли журналите на крайната точка този опит изобщо? Случва ли се отказът при първоначалния обмен, след период на бездействие или само при по-големи трансфери?

Тези четири отговора сочат към филтриране, изтичане на състоянието на транслация, грешна крайна точка или обработка на размера на пакета. Никое от тях не се установява, като видите DS-Lite на страницата на акаунта.

Четете промените на доставчика внимателно

Промяна по акаунта може да съвпадне с работеща връзка, като същевременно промени няколко свойства наведнъж. Запишете кое свойство се е променило, защото новото име на пакет не е техническо обяснение.

Инструкцията да включите двоен стек е двусмислена, докато някой не потвърди какво доставчикът действително предоставя. Да я третирате като универсално изискване за IPv4 VPN клиенти превръща предположение в политика.

Ако истинското изискване е входящ IPv4 хостинг, обсъдете с доставчика поддържана входяща подредба, вградена адресация или друг дизайн за достъп. Ако изискването е лаптоп, който достига до отдалечен сървър, попитайте вместо това за точно този изходящ поток. Ред на работа: назовете посоката, потвърдете предоставения режим, тествайте обикновен IPv4 и един транспорт, после променете плана за достъп само ако посоката наистина го изисква.

Подобни статии