Vain IPv6:n varassa oleva verkko rikkoo VPN:n ennen tunnelin alkua

Kannettava liittyy konferenssin Wi-Fi-verkkoon, joka jakaa vain IPv6:ta, VPN-asiakasohjelma pyörii ja epäonnistuu, ja sama profiili toimi hotellissa tuntia aiemmin. Tunnistetiedoissa ei muuttunut mikään. Muuttui se, että asiakasohjelman on nyt saavutettava IPv4-kohde verkon kautta, joka kuljettaa vain IPv6:ta, eikä jokainen asiakasohjelma osaa tehdä sitä.

Käy samat viisi vaihetta, jotka paketit käyvät.

Vaihe 1: tarkkaile nimihakua

Jos profiili käyttää isäntänimeä, ensimmäinen kysymys on, mitä resolveri palauttaa. dig AAAA vpn.example.com palauttaa vain IPv6:n verkossa aidon AAAA-tietueen, DNS64:n syntetisoiman tietueen tai ei mitään. Syntetisoitu vastaus koodaa IPv4-kohteen käännösprefiksin sisään, ja vasta sitten asiakasohjelma, jolla ei ole IPv6-kohdetta, voi saavuttaa sen. Profiili, johon on kovakoodattu IPv4-osoite, ei koskaan pääse tänne asti, koska syntetisoitavaa nimeä ei ole.

Tämä yksi ero selittää useimmat »toimii siellä, epäonnistuu täällä« -raportit, ja sen näkemiseen riittää yksi komento.

Vaihe 2: katso, mitä perhettä asiakasohjelma kutsui

Seuraa socketia, älä edistymispalkkia. Asiakasohjelma, joka avaa IPv4-socketin IPv4-osoitteeseen vain IPv6:n linkillä, ei voi lähettää sitä mihinkään, ja vika näkyy aikakatkaisuna eikä nimivirheenä. ss -tanp asiakkaan yhdistäessä näyttää etäosoitteen ja perheen, jota se yritti. Vertaa sitä komentoon ip -6 route varmistaaksesi, että oletusreitti on todellinen IPv6:n seuraava hyppy.

Socket-taulun osoiteperhe on tosiasia. Edistymispalkki on jonkun muun kirjoittama yhteenveto.

Vaihe 3: erota käännös tunnelista

NAT64 ja DNS64 ovat tapa, jolla liityntäverkko saavuttaa IPv4-kohteet, eivätkä ne tee tunnelille mitään sen pystyttämisen jälkeen. Käännetyllä polulla pystytetty tunneli neuvottelee silti oman sisäisen osoitteistuksensa, ja sisäinen IPv4- tai IPv6-kattavuus on erillinen politiikkakysymys. Jos asiakasohjelma yhdistää eikä sitten saavuta mitään, olet ohittanut käännöksen ja olet reitityksessä, mikä on toinen tutkimus toisin todistein.

Käännöksen epäonnistuminen näyttää siltä, ettei koskaan yhdistä. Sisäisen kattavuuden epäonnistuminen näyttää siltä, että yhdistää eikä saavuta mitään.

Vaihe 4: testaa sama profiili toisessa verkossa

Vie sama profiili, asiakasohjelman versio ja tunnistetiedot kaksoispino-verkkoon ja toista. Jos se toimii siellä ja epäonnistuu vain IPv6:n polulla, muuttuja on liityntäverkko eikä profiili. Kirjaa asiakasohjelman versio ja verkon tila tikettiin, koska lopullinen korjaus on asiakasohjelman päivitys tai toinen kohde.

Raportti, joka sanoo VPN:n olevan rikki, ei ole toimittavissa. Raportti, joka sanoo sen epäonnistuvan vain IPv6:n liitynnässä, on virheraportti.

Vaihe 5: korjaa polku, älä turva-asetuksia

Kaikki houkuttelevat korjaukset pahentavat asiaa. IPv6:n poistaminen käytöstä poistaa ainoan polun, jonka verkko tarjoaa. Asiakasohjelman osoittaminen julkiseen resolveriin rikkoo DNS64-synteesin, koska sen synteesin on tultava kääntäjän takana olevasta resolverista. Varmenteen vahvistuksen poistaminen käytöstä antaa yhteyden johonkin, jota et voi tunnistaa. Mikään niistä ei ole korjaus, ja kaksi niistä on tietoturvan regressioita, jotka elävät tapauksen pidempään.

Todelliset vaihtoehdot ovat asiakasohjelma, joka tukee verkkokäännösmallia, tai kohde, jolla on saavutettava IPv6-osoite. Pyydä jompaakumpaa.