Το DS-Lite μπλοκάρει τη φιλοξενία IPv4 εισερχόμενης κατεύθυνσης, όχι το εξερχόμενο VPN

Το DS-Lite είναι ένας τρόπος να δοθεί σε έναν πελάτη συνδεσιμότητα IPv4 μέσω δικτύου πρόσβασης που μεταφέρει μόνο IPv6. Ο οικιακός δρομολογητής δεν έχει δική του αποκλειστική δημόσια διεύθυνση IPv4, και αυτό το ένα γεγονός πείθει τους ανθρώπους ότι ένα VPN IPv4 δεν μπορεί να λειτουργήσει από αυτή τη σύνδεση. Προς τα έξω, συνήθως λειτουργεί καλά. Η σύνδεση μεταφράζεται από τον πάροχο, και το απομακρυσμένο άκρο βλέπει έναν συνηθισμένο πελάτη IPv4. Αυτό που σπάει είναι η αντίθετη κατεύθυνση: η φιλοξενία κάτι που περιμένει μη ζητημένη εισερχόμενη IPv4. Η διάκριση είναι ποια πλευρά ξεκινά τη συνομιλία.

Ποια πλευρά ξεκινά τη σύνδεση

Ένας πελάτης που ξεκινά μια σύνδεση δημιουργεί κατάσταση μετάφρασης καθώς προχωρά. Ο μεταφραστής του παρόχου βλέπει το πρώτο πακέτο, εκχωρεί μια αντιστοίχιση και το προωθεί. Η επιστρεφόμενη κίνηση ταιριάζει με αυτή την αντιστοίχιση επειδή η αντιστοίχιση υπάρχει ήδη.

Ένας διακομιστής που περιμένει συνδέσεις δεν έχει τέτοια κατάσταση να δημιουργήσει. Κάποιος απ’ έξω πρέπει να φτάσει σε μια διεύθυνση και μια θύρα που ο πάροχος δεν έχει συμφωνήσει να αντιστοιχίσει, και αυτό είναι ένα εντελώς διαφορετικό αίτημα.

Ακολουθήστε ένα εξερχόμενο αίτημα

Η αρχιτεκτονική στο RFC 6333 ονομάζει και τα δύο άκρα. Το στοιχείο στην πλευρά του πελάτη είναι το B4, που ενθυλακώνει IPv4 μέσα σε IPv6. Το στοιχείο στην πλευρά του παρόχου είναι το AFTR, που εκτελεί τη μετάφραση διεύθυνσης και προωθεί το πακέτο ως IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Ο διακομιστής VPN λαμβάνει μια κανονική σύνδεση IPv4 από τη μεταφρασμένη διεύθυνση του παρόχου. Δεν χρειάζεται λειτουργία DS-Lite, ειδική θύρα ή οποιαδήποτε επίγνωση ότι το δίκτυο πρόσβασης του πελάτη είναι μόνο IPv6. Αυτό είναι το σημείο που οι άνθρωποι χάνουν: το απομακρυσμένο άκρο δεν μπορεί να το καταλάβει.

Η διαμόρφωση του ίδιου του πελάτη είναι εξίσου συνηθισμένη. Χρειάζεται μια λειτουργική διαδρομή IPv4 προς τον διακομιστή, την οποία παρέχουν το B4 και το AFTR, και χρειάζεται το όνομα κεντρικού υπολογιστή του διακομιστή να επιλύεται σε διεύθυνση IPv4.

Γιατί η εισερχόμενη φιλοξενία είναι η περίπτωση που αποτυγχάνει

Η λειτουργία διακομιστή VPN IPv4 στο σπίτι είναι ο σχεδιασμός που συγκρούεται με την κοινόχρηστη διευθυνσιοδότηση του παρόχου. Ο μεταφραστής του παρόχου κατέχει τη δημόσια διεύθυνση και τον πίνακα αντιστοίχισης και δεν έχει λόγο να δημιουργήσει μόνιμη εισερχόμενη αντιστοίχιση για έναν συνδρομητή.

Ένας κανόνας προώθησης θύρας στον οικιακό δρομολογητή δεν μπορεί να διαμορφώσει το AFTR. Ο κανόνας είναι πραγματικός και σωστός στην τοπική συσκευή και δεν αλλάζει τίποτα προς τα πάνω, γι’ αυτό το σύμπτωμα μοιάζει με πρόβλημα τείχους προστασίας που δεν φεύγει.

Εδώ επίσης η μετάφραση σε επίπεδο παρόχου διαφέρει από μια μοναδική δημόσια διεύθυνση: ακόμη και μια σωστή τοπική προώθηση μπορεί να καταλήξει σε διεύθυνση που μοιράζονται πολλοί συνδρομητές.

Διαγνώστε πριν αλλάξετε το σχέδιο πρόσβασης

Επιβεβαιώστε πρώτα τη λειτουργία που έχει παρασχεθεί. Η εγγενής διπλή στοίβα, το DS-Lite και ένα δίκτυο μόνο IPv6 που χρησιμοποιεί άλλο μηχανισμό μετάφρασης είναι τρεις διαφορετικές διατάξεις, και τα ονόματα μάρκετινγκ του παρόχου δεν ταιριάζουν πάντα με το τεχνικό.

Στη συνέχεια καθιερώστε τέσσερις παρατηρήσεις για μια εξερχόμενη αποτυχία. Επιλύει ο πελάτης το όνομα κεντρικού υπολογιστή του VPN σε προορισμό IPv4; Λειτουργεί η απλή συνδεσιμότητα IPv4, αντί για αίτημα προγράμματος περιήγησης που μπορεί να χρησιμοποίησε ήσυχα IPv6; Ποιο μεταφορικό μέσο και ποια θύρα δοκιμάζει ο πελάτης, και βλέπουν τα αρχεία καταγραφής του τελικού σημείου αυτή την προσπάθεια καθόλου; Η αποτυχία συμβαίνει κατά την αρχική ανταλλαγή, μετά από περίοδο αδράνειας ή μόνο σε μεγαλύτερες μεταφορές;

Αυτές οι τέσσερις απαντήσεις δείχνουν φιλτράρισμα, λήξη της κατάστασης μετάφρασης, λάθος τελικό σημείο ή χειρισμό μεγέθους πακέτου. Κανένα από αυτά δεν αποδεικνύεται βλέποντας DS-Lite στη σελίδα του λογαριασμού.

Διαβάστε προσεκτικά τις αλλαγές του παρόχου

Μια αλλαγή λογαριασμού μπορεί να συμπέσει με μια λειτουργική σύνδεση ενώ αλλάζει πολλές ιδιότητες ταυτόχρονα. Καταγράψτε ποια ιδιότητα άλλαξε, γιατί ένα νέο όνομα πακέτου δεν είναι τεχνική εξήγηση.

Η οδηγία να ενεργοποιήσετε τη διπλή στοίβα είναι αμφίσημη μέχρι κάποιος να επιβεβαιώσει τι παρέχει πραγματικά ο πάροχος. Το να τη θεωρήσετε καθολική απαίτηση για πελάτες VPN IPv4 μετατρέπει μια εικασία σε πολιτική.

Αν η πραγματική απαίτηση είναι εισερχόμενη φιλοξενία IPv4, συζητήστε με τον πάροχο μια υποστηριζόμενη εισερχόμενη διάταξη, εγγενή διευθυνσιοδότηση ή άλλο σχεδιασμό πρόσβασης. Αν η απαίτηση είναι φορητός υπολογιστής που φτάνει σε απομακρυσμένο διακομιστή, ρωτήστε αντ’ αυτού για εκείνη την ακριβή εξερχόμενη ροή. Σειρά εργασίας: ονομάστε την κατεύθυνση, επιβεβαιώστε τη λειτουργία που έχει παρασχεθεί, δοκιμάστε απλή IPv4 και ένα μεταφορικό μέσο και αλλάξτε το σχέδιο πρόσβασης μόνο αν η κατεύθυνση το απαιτεί πραγματικά.