DS-Lite が遮断するのは受信 IPv4 ホスティングであり、送信 VPN ではない

変換状態は接続を開始する側に従います。送信リクエストを B4 と AFTR 経由で追い、ホスティングが失敗する理由を確認します。

DS-Lite は、IPv6 しか運ばないアクセス網を通じて顧客に IPv4 接続を提供する方法です。家庭用ルーターは専用のグローバル IPv4 アドレスを持たず、その一点だけで、この接続から IPv4 VPN は使えないと多くの人が思い込みます。送信方向なら通常は問題なく動作します。接続は事業者側で変換され、対向側にはごく普通の IPv4 クライアントとして見えます。壊れるのは逆方向です。求められていない受信 IPv4 を前提とするものをホストする場合です。違いは、どちらの側が会話を始めるかにあります。

どちらの側が接続を開始するか

接続を開始するクライアントは、通信しながら変換状態を作ります。事業者の変換装置は最初のパケットを見てマッピングを割り当て、転送します。戻りの通信はそのマッピングに一致します。マッピングがすでに存在するからです。

接続を待つサーバーには、作るべき状態がありません。外部の誰かが、事業者がマッピングを約束していないアドレスとポートに到達する必要があり、それはまったく別の要求です。

送信リクエストを追う

アーキテクチャは RFC 6333 で両端に名前を与えています。顧客側の要素が B4 で、IPv4 を IPv6 にカプセル化します。事業者側の要素が AFTR で、アドレス変換を行い、パケットを IPv4 として転送します。

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

VPN サーバーは、事業者の変換後アドレスから通常の IPv4 接続を受け取ります。DS-Lite モードも特別なポートも、顧客のアクセス網が IPv6 のみであることを知る必要もありません。見落とされがちなのはこの点です。対向側には区別がつきません。

クライアント側の設定も同じくらい普通です。B4 と AFTR が提供する IPv4 経路がサーバーまで通っていること、そしてサーバーのホスト名が IPv4 アドレスに解決されることが必要です。

受信ホスティングが失敗する理由

自宅で IPv4 VPN サーバーを動かすのは、事業者の共有アドレス方式と衝突する設計です。事業者の変換装置がグローバルアドレスとマッピングテーブルを管理しており、一人の加入者のために常設の受信マッピングを作る理由はありません。

家庭用ルーターのポート転送ルールでは AFTR を設定できません。そのルールはローカル機器では正しく実在しますが、上流には何も変えません。だからこそ、消えないファイアウォール問題のように見えるのです。

ここが、キャリアグレード変換が単一のグローバルアドレスと異なる点でもあります。正しいローカル転送でも、多数の加入者が共有するアドレスに着地することがあります。

アクセスプランを変える前に診断する

まず、プロビジョニングされたモードを確認します。ネイティブのデュアルスタック、DS-Lite、別の変換機構を使う IPv6 のみの網は三つの異なる構成であり、事業者の販売名が技術名と一致するとは限りません。

次に、送信側の障害について四つの観察を立てます。クライアントは VPN のホスト名を IPv4 の宛先に解決しているか。ブラウザーの要求ではなく、素の IPv4 接続は通るか（その要求は黙って IPv6 を使っていたかもしれません）。クライアントはどのトランスポートとポートを試し、端点のログにその試行は現れているか。障害は最初のやり取りで起きるのか、アイドル期間の後か、大きな転送のときだけか。

この四つの答えは、フィルタリング、変換状態のタイムアウト、誤った端点、パケットサイズの扱いのいずれかを指します。アカウント画面に DS-Lite と書いてあることでは、どれも確定しません。

事業者の変更を注意して読む

アカウントの変更は、複数の性質を一度に変えながら、たまたま接続が動いているように見えることがあります。どの性質が変わったかを記録してください。新しいパッケージ名は技術的な説明ではありません。

デュアルスタックを有効にせよという指示は、事業者が実際に何をプロビジョニングするかを誰かが確認するまで曖昧です。それを IPv4 VPN クライアント全般の要件として扱うと、推測が方針になります。

本当の要件が受信 IPv4 ホスティングなら、事業者と、対応している受信構成、ネイティブアドレス、あるいは別のアクセス設計について話し合ってください。要件が遠隔サーバーに届くノート PC なら、代わりにその具体的な送信フローについて尋ねてください。作業順序は、方向を名指しし、プロビジョニングされたモードを確認し、素の IPv4 と一つのトランスポートを試し、方向が本当に必要とする場合にだけアクセスプランを変えることです。

関連記事