Miksi DNS64-vastaukset muuttuvat heti, kun VPN yhdistää?

DNS64-vastaukset kuvaavat verkon järjestelyä eivätkä palvelimen ominaisuutta. Ratkaisin syntetisoi IPv6-osoitteen IPv4-osoitteesta, ja tulos toimii vain siellä, missä kääntäjä istuu kyseisen etuliitteen päässä. Tuo VPN polulle, ja järjestely voi pysyä, muuttua tai lakkautua olemasta totta kolmesta ehdosta riippuen.

Nämä ehdot ovat vastannut ratkaisin, reitti, joka laitteellasi on syntetisoituun etuliitteeseen, ja se, tekeekö jokin tuolla reitillä käännöksen. Jokainen on havaittavissa, ja juuri se tekee viasta diagnosoitavan.

Mihin syntetisoitu AAAA-tietue oikeastaan osoittaa

DNS64-ratkaisin vastaa vain IPv4-nimen AAAA-kyselyyn upottamalla IPv4-osoitteen etuliitteeseen, jonka käyttöön se on määritetty, ja tämän työn tunnettu etuliite on 64:ff9b::/96, kuten RFC 6147 kuvaa. Sovellukselle tietue näyttää samalta kuin mikä tahansa muu AAAA-tietue, ja juuri se on pointti: vain IPv6:ta tukeva asiakas voi yrittää yhteyttä tietämättä, ettei kohteella koskaan ollut IPv6:ta. Yhteys riippuu silloin NAT64-toiminnosta, joka jossain polun varrella kääntää kahden perheen välillä. Ilman tuota kääntäjää syntetisoitu osoite on uskottavalta näyttävä kohde, joka ei johda mihinkään.

Tietue koodaa siis kaksi asiaa kerralla: alkuperäisen IPv4-osoitteen ja oletuksen, että kääntäjä on tavoitettavissa. Vain ensimmäinen näkyy itse vastauksessa.

Kolme ehtoa ratkaisee, toimiiko se vielä

Ensimmäinen ehto on, mikä ratkaisin tietueen tuotti, sillä ilman määritettyä DNS64:ää oleva ratkaisin ei palauta kyseiselle nimelle mitään ja sovellus epäonnistuu toisella tavalla. Toinen on, onko laitteellasi reitti syntetisoituun etuliitteeseen, koska vastaus voi olla kelvollinen, kun polku sinne puuttuu. Kolmas on, onko kyseisen etuliitteen omistava kääntäjä polulla, jota käyttäisit, koska tunneli, joka kuljettaa 64:ff9b::/96 muualle, saavuttaa toisen toiminnon tai ei mitään. Kaikki kolme voivat päteä ennen tunnelia ja pettää sen jälkeen, ja siksi oire näyttää äkilliseltä regressiolta.

Tarkista ne tässä järjestyksessä. Puuttuva vastaus ja puuttuva reitti näyttävät selaimessa samalta ja ratkaisimen lokissa täysin erilaiselta.

Kun ratkaisin vaihtuu, vastaus vaihtuu

VPN-asiakas työntää usein oman ratkaisimensa tai ottaa koko kyselypolun haltuunsa, eikä tuo ratkaisin välttämättä syntetisoi mitään. Kyselyt vain IPv4-nimille eivät silloin palauta AAAA-tietuetta, minkä vain IPv6:ta tukeva asiakas kokee nimenä, johon ei pääse. Myös päinvastoin käy: ratkaisin, joka todella syntetisoi, voi antaa etuliitteen, jota tunnelipolkusi ei kuljeta.

Välimuisti tekee tästä vaikeammin nähtävää. Toimistoverkossa hankittu syntetisoitu tietue voi elää kauemmin kuin sen tuottanut konteksti, joten asiakas jatkaa yhdistämistä osoitteeseen, jonka kääntäjä ei enää ole tavoitettavissa. Katso nyt vastaavaa ratkaisinta äläkä sitä, joka vastasi tietueen tallennushetkellä. Välimuistin tyhjentäminen tallentamatta vanhaa ja uutta vastausta tuhoaa todisteen, jonka tarvitset.

Testaa haku ja polku erikseen

Kysy nimeä suoraan ennen kuin kytket sovelluksen mukaan, ja kirjaa, mikä palvelin vastasi. Alla olevat komennot näyttävät AAAA-tietueen, käytettävän ratkaisimen ja sen, onko syntetisoituun etuliitteeseen reitti olemassa. Aja ne tunneli alhaalla ja sitten uudelleen tunneli ylhäällä.

dig AAAA ipv4only.example.com +short
dig AAAA ipv4only.example.com | grep -E '^;; SERVER'
ip -6 route get 64:ff9b::c000:0216
curl -6 -sS -o /dev/null -w '%{http_code} %{time_connect}\n' --max-time 8 http://ipv4only.example.com/

Lue tulokset ketjuna. Puuttuva AAAA-tietue tarkoittaa, ettei edessäsi oleva ratkaisin syntetisoi, joten vain IPv6:ta tukeva polku ei toimi kyseiselle nimelle, mitä asiakas sitten tekeekin. Tietue on mutta reittiä ei tarkoittaa, ettei nykyinen polku kuljeta etuliitettä, ja se on reitityspäätös eikä ratkaisimen vika. Reitti on mutta pyyntö epäonnistuu yhä — se osoittaa itse kääntäjään, ja se kuuluu vielä toiselle omistajalle.

Kirjaa ratkaisin, verkkokonteksti ja osoiteperhe kunkin tuloksen viereen. Juuri tuo muistiinpano antaa seuraavan vertailun erottaa ratkaisimen vaihtumisen reitityksen vaihtumisesta.