Тек IPv6 тармагы VPN’ди туннель башталганга чейин бузат

Ноутбук конференциянын Wi-Fi тармагына кошулат, ал тек IPv6 таратат, VPN клиенти айланып иштебей калат, ал эми ошол эле профиль бир саат мурун мейманканада иштеген. Эсеп маалыматтарында эч нерсе өзгергөн жок. Өзгөргөнү — клиент азыр тек IPv6 ташыган тармак аркылуу IPv4 максатына жетүүгө тийиш, жана ар бир клиент муну кантип жасоону билбейт.

Пакеттер өткөн ошол эле беш кадамдан өтүңүз.

1-кадам: ат издөөнү байкаңыз

Профиль хост атын колдонсо, биринчи суроо — чечүүчү эмнени кайтарат. dig AAAA vpn.example.com тек IPv6 тармагында чыныгы AAAA жазуусун, DNS64тен синтезделген жазууну же такыр эч нерсе кайтарбайт. Синтезделген жооп IPv4 максатын котормо префиксинин ичинде коддойт, ошондо гана IPv6 максаты жок клиент ага жете алат. Катуу коддолгон IPv4 дареги бар профиль бул жерге эч качан жетпейт, анткени синтездей турган ат жок.

Ошол эле бир айырма «анда иштейт, бул жерде иштебейт» деген отчеттордун көбүн түшүндүрөт, жана аны көрүү үчүн бир буйрук жетет.

2-кадам: клиент кайсы үй-бүлөнү чакырганын көрүңүз

Прогресс тилкесин эмес, сокетти байкаңыз. Тек IPv6 байланышында IPv4 дарегине IPv4 сокет ачкан клиенттин аны жөнөтө турган жери жок, жана ката ат катасы эмес, убакыт аяктаганы катары көрүнөт. Клиент кошулуп жатканда ss -tanp алыскы даректи жана ал аракет кылган үй-бүлөнү көрсөтөт. Аны ip -6 route менен салыштырып, демейки маршрут чыныгы IPv6 кийинки секирик экенине ынаныңыз.

Сокет таблицасындагы дарек үй-бүлөсү — бул факт. Прогресс тилкеси — башка бирөө жазган кыскача.

3-кадам: котормону туннелден бөлүңүз

NAT64 жана DNS64 — кирүү тармагынын IPv4 максаттарына жетүү жолу, жана туннель көтөрүлгөндөн кийин алар ага эч нерсе кылбайт. Которулган жол үстүндө курулган туннель дагы эле өзүнүн ички даректөөсү боюнча сүйлөшөт, жана ички IPv4 же IPv6 камтуусу өзүнчө саясат маселеси. Эгер клиент кошулуп, анан эч жерге жетпесе, сиз котормодон өтүп, маршруттоого кирдиңиз, бул башка далилдер менен башка иликтөө.

Котормонун иштебей калышы эч качан кошулбагандай көрүнөт. Ички камтуунун иштебей калышы кошулуп, эч жерге жетпегендей көрүнөт.

4-кадам: ошол профилди башка тармакта сынаңыз

Ошол профилди, клиент версиясын жана эсеп маалыматтарын кош катмарлуу тармакка алып барып, кайталаңыз. Эгер ал жерде иштеп, тек IPv6 жолунда иштебей калса, өзгөрмө — профиль эмес, кирүү тармагы. Билетке клиент версиясын жана тармактын абалын жазыңыз, анткени акыркы чечим клиентти жаңыртуу же башка максат.

«VPN бузулган» деген отчет аракет кылууга жараксыз. «Тек IPv6 кирүүсүндө гана иштебейт» деген отчет ката тууралуу отчет.

5-кадам: коопсуздук параметрлерин эмес, жолду оңдоңуз

Бардык азгырган оңдоолор абалды начарлатат. IPv6ны өчүрүү тармак сунуштаган жалгыз жолду алып салат. Клиентти ачык чечүүчүгө багыттоо DNS64 синтезин бузат, анткени ал синтез которуучунун артындагы чечүүчүдөн келиши керек. Сертификатты текшерүүнү өчүрүү сизге тааный албаган нерсе менен байланыш берет. Алардын эч бири оңдоо эмес, жана экөө окуядан кийин да кала турган коопсуздук регрессиялары.

Чыныгы варианттар — тармактык котормо моделине колдоо көрсөткөн клиент, же жеткиликтүү IPv6 дареги бар максат. Ошолордун бирин сураңыз.