Wêrom feroarje DNS64-antwurden sadree't de VPN ferbynt?

DNS64-antwurden beskriuwe in netwurkregeling, net in eigenskip fan 'e tsjinner. De resolver syntetisearret in IPv6-adres út in IPv4-adres, en it resultaat wurket allinnich dêr't in oersetter oan 'e ein fan dat foarheaksel sit. Bring in VPN yn it paad en dy regeling kin hâlde, feroarje of ophâlde wier te wêzen, ôfhinklik fan trije betingsten.

Dy betingsten binne de resolver dy't antwurde, de rûte dy't jo apparaat hat nei it syntetisearre foarheaksel, en oft wat op dy rûte de oersetting docht. Elk is waarnimber, en dat is wat de flater diagnoabel makket.

Wêr't in syntetisearre AAAA-record eins nei wiist

In DNS64-resolver beantwurdet in AAAA-fraach foar in namme mei allinnich IPv4 troch it IPv4-adres yn in foarheaksel te pleatsen dat er konfigurearre is om te brûken, en it bekende foarheaksel foar dat wurk is 64:ff9b::/96 sa't beskreaun yn RFC 6147. De record liket foar de applikaasje as elke oare AAAA-record, en dat is it punt: in klant mei allinnich IPv6 kin in ferbining besykje sûnder te witten dat de bestimming nea IPv6 hân hat. Dy ferbining hinget dan ôf fan in NAT64-funksje dy't earne op it paad tusken de twa famyljes oerset. Sûnder dy oersetter is it syntetisearre adres in leauwensweardich beskaat dat nearne hinne giet.

De record kodearret dus twa dingen tagelyk: it oarspronklike IPv4-adres en de ferûnderstelling dat in oersetter berikber is. Allinnich it earste is yn it antwurd sels sichtber.

Trije betingsten beslisse oft it noch wurket

De earste betingst is hokker resolver de record makke hat, om't ien sûnder DNS64 konfigurearre neat foar dy namme weromjout en de applikaasje op in oare wize mislearret. De twadde is oft jo apparaat in rûte hat nei it syntetisearre foarheaksel, om't in antwurd jildich wêze kin wylst it paad dêrhinne ûntbrekt. De tredde is oft de oersetter dy't dat foarheaksel besit op it paad sit dat jo brûke soene, om't in tunnel dy't 64:ff9b::/96 earne oars hinne bringt in oare funksje of hielendal neat berikt. Alle trije kinne foar de tunnel jilde en dernei mislearje, en dêrom liket it symptoom op in hommelse regresje.

Kontrolearje se yn dy folchoarder. In ûntbrekkend antwurd en in ûntbrekkende rûte lykje yn in browser identyk en yn in resolverlog hielendal oars.

As de resolver feroaret, feroaret it antwurd

In VPN-klant triuwt faak syn eigen resolver der trochhinne of nimt it hiele fraachpaad oer, en dy resolver syntetisearret miskien neat. Fraachpetearen foar nammen mei allinnich IPv4 jouwe dan gjin AAAA-record werom, wat in klant mei allinnich IPv6 belibbet as in namme dy't er net berikke kin. It omkearde bart ek: in resolver dy't wol syntetisearret kin jo in foarheaksel jaan dat jo tunnelpaad net bringt.

Caching makket dit hurder te sjen. In syntetisearre record dy't op it kantoarnetwurk helle is, kin de kontekst dêr't er út kommen is oerlibje, sadat de klant ferbining bliuwt meitsjen mei in adres wêrfan't de oersetter net mear berikber is. Sjoch nei de resolver dy't no antwurdet ynstee fan dy't antwurde doe't de ynfier bewarre waard. It leegjen fan 'e cache sûnder de âlde en nije antwurden fêst te lizzen ferneatiget it bewiis dat jo nedich hawwe.

Test de opfreage en it paad apart

Freegje de namme direkt op foardat jo de applikaasje derby helje, en notearje hokker tsjinner antwurde. De opdrachten hjirûnder litte de AAAA-record, de resolver dy't brûkt wurdt en oft der in rûte nei it syntetisearre foarheaksel bestiet sjen. Fier se út mei de tunnel del en dêrnei wer mei de tunnel omheech.

dig AAAA ipv4only.example.com +short
dig AAAA ipv4only.example.com | grep -E '^;; SERVER'
ip -6 route get 64:ff9b::c000:0216
curl -6 -sS -o /dev/null -w '%{http_code} %{time_connect}\n' --max-time 8 http://ipv4only.example.com/

Lês de resultaten as in keatling. In ûntbrekkende AAAA-record betsjut dat de resolver foar jo gjin syntetisearret, dus in paad mei allinnich IPv6 sil foar dy namme net wurkje, wat de klant ek docht. In record oanwêzich sûnder rûte betsjut dat it foarheaksel net troch it hjoeddeiske paad brocht wurdt, en dat is in routearingsbeslissing en net in resolverflater. In rûte oanwêzich wylst it fersyk noch mislearret wiist op de oersetter sels, en dat heart by noch in oare eigner.

Notearje de resolver, de netwurkekontekst en de adresfamylje njonken elk resultaat. Krekt dy notysje lit de folgjende fergeliking in resolverferoaring fan in routearringsferoaring skiede.