Mae DS-Lite yn blocio cynnal IPv4 sy’n dod i mewn, nid VPN sy’n mynd allan

Mae DS-Lite yn ffordd o roi cysylltedd IPv4 i gwsmer dros rwydwaith mynediad sydd ond yn cario IPv6. Nid oes gan y llwybrydd cartref ei gyfeiriad IPv4 cyhoeddus penodol ei hun, ac mae’r ffaith syml honno yn argyhoeddi pobl na all VPN IPv4 weithio o’r cysylltiad hwnnw. Ar yr ochr allan, mae fel arfer yn gweithio’n iawn. Mae’r darparwr yn cyfieithu’r cysylltiad, ac mae’r pen pell yn gweld cleient IPv4 cyffredin. Yr hyn sy’n torri yw’r cyfeiriad arall: cynnal rhywbeth sy’n disgwyl IPv4 sy’n dod i mewn heb gais. Y gwahaniaeth yw pa ben sy’n cychwyn y sgwrs.

Pa ben sy’n cychwyn y cysylltiad

Mae cleient sy’n cychwyn cysylltiad yn creu cyflwr cyfieithu wrth fynd. Mae cyfieithydd y darparwr yn gweld y pecyn cyntaf, yn dyrannu mapiad, ac yn ei anfon ymlaen. Mae traffig sy’n dychwelyd yn cyfateb i’r mapiad hwnnw oherwydd bod y mapiad eisoes yn bodoli.

Nid oes gan weinydd sy’n aros am gysylltiadau gyflwr o’r fath i’w greu. Rhaid i rywun o’r tu allan gyrraedd cyfeiriad a phorth nad yw’r darparwr wedi cytuno i’w mapio, ac mae hynny’n gais hollol wahanol.

Dilynwch gais sy’n mynd allan

Mae’r bensaernïaeth yn RFC 6333 enwi’r ddau ben. Yr elfen ar ochr y cwsmer yw’r B4, sy’n amgáu IPv4 mewn IPv6. Yr elfen ar ochr y darparwr yw’r AFTR, sy’n perfformio’r cyfieithu cyfeiriad ac yn anfon y pecyn ymlaen fel IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Mae’r gweinydd VPN yn derbyn cysylltiad IPv4 arferol o gyfeiriad cyfieithiedig y darparwr. Nid oes angen modd DS-Lite, porth arbennig, nac unrhyw ymwybyddiaeth bod rhwydwaith mynediad y cwsmer yn IPv6 yn unig. Dyma’r rhan y mae pobl yn ei cholli: ni all y pen pell wybod.

Mae cyfluniad y cleient ei hun yr un mor gyffredin. Mae angen llwybr IPv4 gweithiol i’r gweinydd, y mae’r B4 a’r AFTR yn ei ddarparu, ac mae angen i enw gwesteiwr y gweinydd ddatrys i gyfeiriad IPv4.

Pam mai cynnal sy’n dod i mewn yw’r achos sy’n methu

Mae rhedeg gweinydd VPN IPv4 gartref yn gynllun sy’n gwrthdaro â chyfeiriadu rhannu’r darparwr. Mae cyfieithydd y darparwr yn berchen ar y cyfeiriad cyhoeddus a’r tabl mapio, ac nid oes ganddo reswm i greu mapiad sy’n dod i mewn yn barhaol ar gyfer un tanysgrifiwr.

Ni all rheol anfon porth ymlaen ar y llwybrydd cartref ffurfweddu’r AFTR. Mae’r rheol yn real ac yn gywir ar y ddyfais leol, ac nid yw’n newid dim i fyny’r afon, a dyna pam mae’r symptom yn edrych fel problem wal dân na fydd yn mynd i ffwrdd.

Dyma hefyd lle mae cyfieithu ar lefel cludwr yn wahanol i un cyfeiriad cyhoeddus: gall hyd yn oed anfon ymlaen lleol cywir lanio ar gyfeiriad y mae llawer o danysgrifwyr yn ei rannu.

Diagnoswch cyn newid y cynllun mynediad

Cadarnhewch y modd a ddarperir yn gyntaf. Mae pentwr deuol brodorol, DS-Lite a rhwydwaith IPv6-yn-unig sy’n defnyddio mecanwaith cyfieithu arall yn dri threfniant gwahanol, ac nid yw enwau marchnata’r darparwr bob amser yn cyfateb i’r un technegol.

Yna sefwch bedair arsylwi ar gyfer methiant sy’n mynd allan. A yw’r cleient yn datrys enw gwesteiwr y VPN i gyrchfan IPv4? A yw cysylltedd IPv4 plaen yn gweithio, yn hytrach na chais porwr a allai fod wedi defnyddio IPv6 yn dawel? Pa gludydd a phorth y mae’r cleient yn ceisio, ac a yw logiau’r pen terfyn yn gweld yr ymgais honno o gwbl? A yw’r methiant yn digwydd yn ystod y cyfnewid cychwynnol, ar ôl cyfnod segur, neu ddim ond ar drosglwyddiadau mwy?

Mae’r pedwar ateb hynny’n pwyntio at hidlo, amseroedd goramser cyflwr cyfieithu, pen terfyn anghywir neu drin maint pecyn. Nid oes yr un ohonynt yn cael ei sefydlu trwy weld DS-Lite ar dudalen y cyfrif.

Darllenwch newidiadau’r darparwr yn ofalus

Gall newid cyfrif gyd-ddigwydd â chysylltiad gweithiol wrth newid sawl eiddo ar unwaith. Cofnodwch pa eiddo a newidiodd, oherwydd nid yw enw pecyn newydd yn esboniad technegol.

Mae cyfarwyddyd i alluogi pentwr deuol yn amwys nes bod rhywun yn cadarnhau yr hyn y mae’r darparwr yn ei ddarparu mewn gwirionedd. Mae trin hynny fel gofyniad cyffredinol ar gyfer cleientiaid VPN IPv4 yn troi dyfaliad yn bolisi.

Os mai’r gofyniad gwirioneddol yw cynnal IPv4 sy’n dod i mewn, trafodwch drefniant sy’n dod i mewn a gefnogir, cyfeiriadu brodorol neu gynllun mynediad arall â’r darparwr. Os mai’r gofyniad yw gliniadur yn cyrraedd gweinydd pell, gofynnwch am y llif allan manwl hwnnw yn lle hynny. Trefn gwaith: enwch y cyfeiriad, cadarnhewch y modd a ddarperir, profwch IPv4 plaen ac un cludydd, yna newidiwch y cynllun mynediad dim ond os yw’r cyfeiriad yn ei gwneud yn ofynnol.