DS-Lite blockiert eingehendes IPv4-Hosting, nicht ausgehendes VPN

DS-Lite ist ein Weg, einem Kunden IPv4-Konnektivität über ein Zugangsnetz bereitzustellen, das nur IPv6 transportiert. Der Heimrouter hat keine eigene dedizierte öffentliche IPv4-Adresse, und genau diese eine Tatsache überzeugt Menschen davon, dass ein IPv4-VPN von dieser Verbindung aus nicht funktionieren kann. Ausgehend funktioniert es normalerweise gut. Die Verbindung wird vom Anbieter übersetzt, und die Gegenseite sieht einen gewöhnlichen IPv4-Client. Was bricht, ist die Gegenrichtung: etwas zu hosten, das unaufgefordert eingehendes IPv4 erwartet. Der Unterschied liegt darin, welche Seite das Gespräch beginnt.

Welche Seite die Verbindung beginnt

Ein Client, der eine Verbindung aufbaut, erzeugt dabei Übersetzungszustand. Der Übersetzer des Anbieters sieht das erste Paket, weist eine Zuordnung zu und leitet es weiter. Rückverkehr passt zu dieser Zuordnung, weil die Zuordnung bereits existiert.

Ein Server, der auf Verbindungen wartet, hat keinen solchen Zustand zu erzeugen. Jemand von außen muss eine Adresse und einen Port erreichen, deren Zuordnung der Anbieter nicht zugestimmt hat, und das ist eine völlig andere Anfrage.

Verfolgen Sie eine ausgehende Anfrage

Die Architektur in RFC 6333 benennt beide Enden. Das kundenseitige Element ist das B4, das IPv4 in IPv6 kapselt. Das anbieterseitige Element ist das AFTR, das die Adressübersetzung vornimmt und das Paket als IPv4 weiterleitet.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Der VPN-Server empfängt eine normale IPv4-Verbindung von der übersetzten Adresse des Anbieters. Er braucht keinen DS-Lite-Modus, keinen Sonderport und kein Wissen darüber, dass das Zugangsnetz des Kunden nur IPv6 ist. Das ist der Punkt, den Leute übersehen: Die Gegenseite kann es nicht erkennen.

Die eigene Konfiguration des Clients ist ebenso gewöhnlich. Sie braucht einen funktionierenden IPv4-Pfad zum Server, den B4 und AFTR bereitstellen, und sie braucht den Hostnamen des Servers aufgelöst zu einer IPv4-Adresse.

Warum eingehendes Hosting der Fall ist, der scheitert

Einen IPv4-VPN-Server zu Hause zu betreiben ist das Design, das mit der geteilten Adressierung des Anbieters kollidiert. Der Übersetzer des Anbieters besitzt die öffentliche Adresse und die Zuordnungstabelle und hat keinen Grund, eine dauerhafte eingehende Zuordnung für einen Teilnehmer anzulegen.

Eine Portweiterleitungsregel am Heimrouter kann das AFTR nicht konfigurieren. Die Regel ist auf dem lokalen Gerät real und korrekt, und sie ändert stromaufwärts nichts, weshalb das Symptom wie ein Firewallproblem aussieht, das nicht verschwindet.

Hier unterscheidet sich die Übersetzung auf Betreiberebene auch von einer einzelnen öffentlichen Adresse: Selbst eine korrekte lokale Weiterleitung kann auf einer Adresse landen, die sich viele Teilnehmer teilen.

Diagnostizieren, bevor der Zugangsplan geändert wird

Bestätigen Sie zuerst den bereitgestellten Modus. Native Dual-Stack, DS-Lite und ein reines IPv6-Netz mit einem anderen Übersetzungsmechanismus sind drei verschiedene Anordnungen, und die Marketingnamen der Anbieter stimmen nicht immer mit dem technischen überein.

Legen Sie dann vier Beobachtungen für einen ausgehenden Fehler fest. Löst der Client den VPN-Hostnamen zu einem IPv4-Ziel auf? Funktioniert einfache IPv4-Konnektivität, statt einer Browseranfrage, die stillschweigend IPv6 benutzt haben mag? Welchen Transport und Port versucht der Client, und sehen die Endpunkt-Protokolle diesen Versuch überhaupt? Tritt der Fehler während des ersten Austauschs, nach einer Ruhephase oder nur bei größeren Übertragungen auf?

Diese vier Antworten deuten auf Filterung, Zeitüberschreitung des Übersetzungszustands, einen falschen Endpunkt oder die Behandlung der Paketgröße. Nichts davon wird dadurch belegt, dass DS-Lite auf der Kontoseite steht.

Anbieteränderungen sorgfältig lesen

Eine Kontoänderung kann mit einer funktionierenden Verbindung zusammenfallen und zugleich mehrere Eigenschaften auf einmal ändern. Notieren Sie, welche Eigenschaft sich geändert hat, denn ein neuer Paketname ist keine technische Erklärung.

Die Anweisung, Dual-Stack zu aktivieren, bleibt mehrdeutig, bis jemand bestätigt, was der Anbieter tatsächlich bereitstellt. Sie als allgemeine Anforderung für IPv4-VPN-Clients zu behandeln macht aus einer Vermutung eine Richtlinie.

Wenn die eigentliche Anforderung eingehendes IPv4-Hosting ist, besprechen Sie mit dem Anbieter eine unterstützte eingehende Anordnung, native Adressierung oder ein anderes Zugangsdesign. Wenn die Anforderung ein Laptop ist, der einen entfernten Server erreicht, fragen Sie stattdessen nach genau diesem ausgehenden Fluss. Reihenfolge der Arbeit: die Richtung benennen, den bereitgestellten Modus bestätigen, einfaches IPv4 und einen Transport testen und den Zugangsplan nur ändern, wenn die Richtung es tatsächlich erfordert.