רשת עם IPv6 בלבד שוברת את ה-VPN לפני שהמנהרה מתחילה

המחשב הנייד מצטרף ל-Wi-Fi של ועידה שמחלק רק IPv6, לקוח ה-VPN מסתובב ונכשל, ואותו פרופיל עבד במלון שעה קודם. שום דבר בהרשאות לא השתנה. מה שהשתנה הוא שהלקוח צריך כעת להגיע ליעד IPv4 דרך רשת שנושאת IPv6 בלבד, ולא כל לקוח יודע איך לעשות זאת.

עברו את חמשת הצעדים שאותם עוברות החבילות.

שלב 1: התבוננו בחיפוש השם

אם הפרופיל משתמש בשם מארח, השאלה הראשונה היא מה מחזיר הפותר. dig AAAA vpn.example.com ברשת עם IPv6 בלבד מחזיר רשומת AAAA אמיתית, רשומה מסונתזת מ-DNS64, או כלום. תשובה מסונתזת מקודדת את יעד ה-IPv4 בתוך קידומת תרגום, ורק אז לקוח בלי יעד IPv6 יכול להגיע אליו. פרופיל עם כתובת IPv4 מקודדת מראש לעולם לא מגיע לכאן, כי אין שם לסנתז.

ההבדל הבודד הזה מסביר את רוב הדיווחים «עובד שם, נכשל כאן», וצריך פקודה אחת כדי לראות אותו.

שלב 2: ראו איזו משפחה הלקוח בחר

התבוננו ב-socket ולא בסרגל ההתקדמות. לקוח שפותח socket של IPv4 לכתובת IPv4 בקישור עם IPv6 בלבד אין לו לאן לשלוח אותו, והכשל מתגלה כפסק זמן ולא כשגיאת שם. ss -tanp בזמן שהלקוח מתחבר מציג את הכתובת המרוחקת ואת המשפחה שניסה. השוו זאת ל-ip -6 route כדי לאשר שברירת המחדל היא קפיצה הבאה אמיתית של IPv6.

משפחת הכתובות בטבלת ה-sockets היא העובדה. סרגל ההתקדמות הוא סיכום שמישהו אחר כתב.

שלב 3: הפרידו את התרגום מהמנהרה

NAT64 ו-DNS64 הם הדרך שבה רשת הגישה מגיעה ליעדי IPv4, והם לא עושים דבר למנהרה לאחר שהיא עולה. מנהרה שהוקמה על נתיב מתורגם עדיין מנהלת משא ומתן על המיעון הפנימי שלה, וכיסוי ה-IPv4 או ה-IPv6 הפנימי הוא שאלת מדיניות נפרדת. אם הלקוח מתחבר ואז לא מגיע לשום דבר, כבר עברתם את התרגום ונכנסתם לניתוב, וזו חקירה אחרת עם ראיות אחרות.

כשל בתרגום נראה כמו אי-התחברות לעולם. כשל בכיסוי הפנימי נראה כמו התחברות בלי להגיע לשום דבר.

שלב 4: בדקו את אותו פרופיל ברשת אחרת

קחו את אותו פרופיל, גרסת לקוח והרשאות לרשת עם ערימה כפולה וחזרו על הבדיקה. אם זה עובד שם ונכשל בנתיב עם IPv6 בלבד, המשתנה הוא רשת הגישה ולא הפרופיל. רשמו את גרסת הלקוח ואת מצב הרשת בכרטיס, כי התיקון הסופי הוא עדכון לקוח או יעד אחר.

דיווח שאומר שה-VPN שבור אינו ניתן לפעולה. דיווח שאומר שהוא נכשל רק בגישה עם IPv6 בלבד הוא דיווח תקלה.

שלב 5: תקנו את הנתיב, לא את הגדרות האבטחה

כל התיקונים המפתים מחמירים את המצב. כיבוי IPv6 מסיר את הנתיב היחיד שהרשת מציעה. הצבעת הלקוח לפותר ציבורי שוברת את הסינתזה של DNS64, כי הסינתזה הזו חייבת לבוא מהפותר שמאחורי המתרגם. כיבוי אימות התעודה נותן לכם חיבור למשהו שאינכם יכולים לזהות. אף אחד מאלה אינו תיקון, ושניים מהם הם רגרסיות אבטחה שישרדו את התקרית.

האפשרויות האמיתיות הן לקוח שתומך במודל תרגום הרשת, או יעד עם כתובת IPv6 נגישה. בקשו אחד מאלה.