VPN deu-stac: y cleient sy'n dewis y teulu cyfeiriad, nid chi

Mae'r tiwnel i fyny, mae safleoedd IPv4 yn llwytho, ac mae un enw gwesteiwr yn goramser. Y casgliad ar unwaith yw bod y VPN wedi torri neu fod yr enw defnyddiwr yn anghywir, ac fel arfer nid yw'r naill na'r llall yn wir. Dychwelodd yr enw gyfeiriad IPv4 a chyfeiriad IPv6, dewisodd y rhaglen un, a dim ond un o'r ymgeiswyr hynny oedd â llwybr gweithredol. Gwnaeth y cleient benderfyniad dethol; yn syml, nid oedd y tiwnel yn cynnwys yr hyn a ddewisodd.

Nid yw dewis yn addewid am orchudd

Mae'r dewis cyfeiriad diofyn, a ddisgrifir yn RFC 6724, yn penderfynu pa bâr ffynhonnell a chyrchfan y mae gwesteiwr yn ei ffafrio pan fo sawl un ar gael. Mae Happy Eyeballs yn ychwanegu strategaeth cysylltu ar ben hynny: mae'n dechrau ymdrechion ar y ddau deulu ac yn cadw'r un sy'n ateb gyntaf, fel nad yw defnyddiwr yn aros i deulu wedi torri oramser.

Nid yw'r naill fecanwaith na'r llall yn creu llwybr. Os yw eich tiwnel yn cario IPv4 yn unig, mae ymgeisydd AAAA yn gyrchfan ddilys o hyd y gall y cleient ei thrio, ac mae'r methiant yn ymddangos fel llwytho araf yn hytrach nag fel gwall, oherwydd bod y porwr wedi cwympo'n ôl. Mae'r defnyddiwr yn adrodd am safle araf, nid un wedi torri, ac mae'r tocyn cymorth yn etifeddu'r ansicrwydd hwnnw. Ailadroddwch ef gyda theulu sefydlog a daw'r adroddiad yn benodol.

Y cwymp yn ôl hwnnw yw'r rheswm bod y symptom yn anghyson rhwng rhaglenni. Mae porwr yn cuddio'r oedi; mae cleient llinell orchymyn â theulu sefydlog yn dangos y methiant go iawn i chi ar unwaith.

Darganfyddwch y teulu a ddefnyddiodd y cais mewn gwirionedd

Dechreuwch gyda'r enw, nid y tiwnel. Holwch y ddau fath o gofnod a nodwch beth a ddychwelodd:

dig +short A example.com
dig +short AAAA example.com
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://example.com
curl -6 -sS -o /dev/null -w '%{http_code}\n' https://example.com

Os yw'r cais v4 yn llwyddo ac mae'r cais v6 yn methu, rydych wedi ailadrodd y broblem ar ffurf y gallwch ei dadfygio. Os yw'r ddau yn llwyddo o'r plisgyn ac mae'r porwr yn dal i fethu, edrychwch ar ddatryswr y rhaglen ei hun neu ateb wedi'i storio cyn cyffwrdd â'r tiwnel.

Cadwch y teulu a'r gyrchfan yn eich nodiadau. Ni all neb wirio tocyn sy'n dweud nad yw'r safle'n llwytho dros y VPN, tra bo tocyn sy'n dweud bod AAAA yn methu ac A yn gweithio yn cyfeirio at lwybr penodol.

Gwiriwch y llwybr ar gyfer y teulu hwnnw

Ar gyfer y teulu sy'n methu, gofynnwch i'r cnewyllyn pa lwybr y byddai'n ei ddefnyddio a'i gymharu â chyfeiriadau cyfluniedig y tiwnel. Ar Linux, mae ip -6 route get ar gyfer y gyrchfan yn dangos y rhyngwyneb a'r ffynhonnell a fyddai'n cael eu dewis.

Yna gwiriwch y tiwnel ei hun. Mae cymheiriaid WireGuard yn cario rhestr o IPau a ganiateir, ac nid yw cofnod ar gyfer 0.0.0.0/0 yn dweud dim am IPv6. Os nad oes gan restr y cymhar ragododiad IPv6, nid oes gan y cleient reswm i anfon traffig AAAA i'r tiwnel, ac mae'r pecyn yn gadael trwy'r hyn y byddai'r gwesteiwr yn ei wneud fel arall.

Mae rheolau mur cadarn a pholisi NAT yn haeddu'r un gwiriad fesul teulu. Nid yw rheol a ysgrifennwyd ar gyfer IPv4 yn cynnwys IPv6 ar unrhyw blatfform, a dyma'r rheswm mwyaf cyffredin pam mae un teulu'n gweithio a'r llall ddim.

Peidiwch ag anablu IPv6 i wneud y sgrinlun yn syml

Bydd diffodd IPv6 ar draws y system yn gwneud i'r symptom ddiflannu ac yn eich gadael heb ddiagnosis. Mae hefyd yn torri unrhyw gyrchfan sy'n IPv6 yn unig, ac yn cuddio'r un nam ar gyfer y rhaglen nesaf. Os na ddylai peiriant ddefnyddio IPv6 o ddifrif, mae honno'n bolisi bwriadol gyda pherchennog a phrawf. Nid yw ei ddiffodd yn ystod digwyddiad yn y naill na'r llall.

Penderfynwch beth ddylai'r cleient ei wneud â'r teulu a chyflunio hynny'n benodol: ei gario trwy'r tiwnel, neu ei rwystro mewn ffordd a gefnogir fel nad yw'r dewis byth yn cynnig ymgeisydd anghyrraeddadwy. Mae'r ddau yn gynlluniau dilys. Nid yw anablu byd-eang yn y naill na'r llall, oherwydd nid yw'n gynllun o gwbl.

Beth i'w roi yn y tocyn

Cofnodwch bedwar peth: enw'r gwesteiwr, y teulu a fethodd, y llwybr a ddewisodd y cnewyllyn, a chanlyniad cais sy'n benodol i deulu. Mae'r set honno'n ddigon i rywun arall ailadrodd y methiant heb ddyfalu pa un o'r ddau lwybr oeddech yn ei olygu.

Mae rheolau dewis cyfeiriad RFC 6724 yn egluro pam y ffafriodd y cleient yr ymgeisydd a wnaeth, ac mae RFC 8305 yn egluro'r ymddygiad rasio a guddiodd yr oedi. Ni fydd y naill na'r llall yn llwybruso pecyn drosoch chi, a dyna'r rhan y mae'n rhaid i'r tiwnel ei gwneud.