Mreža samo s IPv6 kvari VPN prije nego što tunel krene

Laptop se pridružuje konferencijskom Wi-Fi-ju koji dijeli samo IPv6, VPN klijent se vrti i pada, a isti profil je prije sat vremena radio u hotelu. Ništa u vjerodajnicama nije promijenjeno. Promijenilo se to što klijent sada mora doći do IPv4 odredišta preko mreže koja nosi samo IPv6, a ne zna svaki klijent kako to učiniti.

Prođite istih pet koraka koje prolaze paketi.

Korak 1: gledajte pretragu imena

Ako profil koristi ime hosta, prvo pitanje je šta vraća resolver. dig AAAA vpn.example.com na mreži samo s IPv6 vraća pravi AAAA zapis, sintetizirani iz DNS64 ili ništa. Sintetizirani odgovor kodira IPv4 odredište unutar prefiksa za translaciju i tek tada klijent bez IPv6 odredišta može doći do njega. Profil s tvrdo upisanom IPv4 adresom nikada ne stigne dovde, jer nema imena za sintetiziranje.

Ta jedna razlika objašnjava većinu izvještaja „radi tamo, pada ovdje“, a za to je dovoljna jedna komanda.

Korak 2: vidite koju je porodicu klijent pozvao

Gledajte soket, a ne traku napretka. Klijent koji otvori IPv4 soket prema IPv4 adresi na linku samo s IPv6 nema gdje ga poslati, a kvar se pojavljuje kao tajmaut, a ne kao greška imena. ss -tanp dok se klijent povezuje pokazuje udaljenu adresu i porodicu koju je pokušao. Uporedite to s ip -6 route da potvrdite da je podrazumijevano pravi sljedeći hop IPv6.

Porodica adresa u tabeli soketa je činjenica. Traka napretka je sažetak koji je napisao neko drugi.

Korak 3: odvojite translaciju od tunela

NAT64 i DNS64 su način na koji pristupna mreža dolazi do IPv4 odredišta i ne rade ništa za tunel nakon što se podigne. Tunel uspostavljen preko translatiranog puta i dalje pregovara vlastito unutrašnje adresiranje, a unutrašnja pokrivenost IPv4 ili IPv6 je odvojeno pitanje politike. Ako se klijent poveže i zatim ništa ne dosegne, prošli ste translaciju i ušli u rutiranje, što je druga istraga s drugim dokazima.

Kvar translacije izgleda kao da se nikad ne poveže. Kvar unutrašnje pokrivenosti izgleda kao da se poveže i ništa ne dosegne.

Korak 4: testirajte isti profil na drugoj mreži

Odnesite isti profil, verziju klijenta i vjerodajnice na mrežu s dvostrukim stekom i ponovite. Ako tamo radi, a pada na putu samo s IPv6, varijabla je pristupna mreža, a ne profil. Zabilježite verziju klijenta i stanje mreže u tiketu, jer je konačno rješenje ažuriranje klijenta ili drugo odredište.

Izvještaj koji kaže da je VPN pokvaren ne može se izvršiti. Izvještaj koji kaže da pada samo na pristupu samo s IPv6 jest izvještaj o grešci.

Korak 5: popravite put, a ne sigurnosne postavke

Primamljive popravke sve pogoršavaju. Isključivanje IPv6 uklanja jedini put koji mreža nudi. Usmjeravanje klijenta na javni resolver kvari sintezu DNS64, jer ta sinteza mora doći od resolvera iza translatora. Isključivanje provjere certifikata daje vam vezu s nečim što ne možete identificirati. Ništa od toga nije popravka, a dvije su sigurnosne regresije koje će nadživjeti incident.

Prave opcije su klijent koji podržava model mrežne translacije ili odredište s dostupnom IPv6 adresom. Zatražite jedno od toga.