Dual-Stack VPN: de Client wielt d'Adressfamill, net Dir

Den Tunnel steet, IPv4-Säite lueden, an een Hostnumm leeft an en Timeout. D'Schlussfolgerung ass direkt, datt de VPN futti ass oder d'Authentifikatiounsdate falsch sinn, a meeschtens ass keng vun deenen zwou richteg. Den Numm huet souwuel eng IPv4- wéi och eng IPv6-Adress zréckginn, d'Applikatioun huet eng gewielt, an nëmmen eng vun dëse Kandidatinnen hat en funktionéierende Wee. De Client huet d'Wiel decidéiert; den Tunnel huet einfach net dat gedeckt, wat hien ausgewielt huet.

Wielen ass kee Verspriechen vu Ofdeckung

D'Standardadressauswiel, wéi se an RFC 6724 beschriwwe gëtt, decidéiert, wéi eng Quell- an Destinatiounspaar en Host bevirzugt, wann der méi disponibel sinn. Happy Eyeballs setzt eng Verbindungsstrategie drop: et fänkt Versich an zwou Familljen un an hält déi, déi als éischt äntwert, sou datt e Benotzer net op en defekte Familljen-Timeout waart.

Keen vun deenen zwou Mechanismen erstellt eng Route. Wann Ären Tunnel nëmmen IPv4 dréit, ass eng AAAA-Kandidatin ëmmer nach en legitimen Zil, dat de Client probéiere kann, an de Feeler schéngt als lues Laden an net als Feeler, well de Browser zréckgefall ass. De Benotzer mellt eng lues Säit, net eng futti, an den Supportsticket ierft déi Onkloerheet. Reproduzéiert et mat enger fester Famill, an de Rappoert gëtt spezifesch.

Dee Fallback ass de Grond, firwat de Symptom iwwer Applikatiounen net konsequent ass. E Browser verstoppt d'Verzögerung; e Kommandozeil-Client mat enger fester Famill weist Iech de richtege Feeler direkt.

Fannt d'Famill, déi d'Ufro tatsächlech benotzt huet

Fänkt mam Numm un, net mam Tunnel. Frot béid Typen vu Rekord a notéiert, wat zréckkënnt:

dig +short A example.com
dig +short AAAA example.com
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://example.com
curl -6 -sS -o /dev/null -w '%{http_code}\n' https://example.com

Wann d'v4-Ufro geléngt an d'v6-Ufro feelgeet, hutt Dir de Problem an enger Form reproduzéiert, déi Dir kënnt debuggen. Wann béid aus der Shell geléngen an de Browser nach ëmmer feelgeet, kuckt op den eegene Resolver vun der Applikatioun oder op eng gecacht Äntwert, ier Dir den Tunnel beréiert.

Halt d'Famill an d'Destinatioun an Ären Notizen. En Ticket, dee seet, datt d'Säit net iwwer de VPN lued, kann een net nokucken, wärend en Ticket, dee seet, datt AAAA feelgeet an A funktionéiert, op eng spezifesch Route weist.

Kuckt d'Route fir déi Famill no

Fir déi Famill, déi feelgeet, frot de Kernel, wéi ee Wee en notze géif, a vergläicht en mat den agestellten Adressen vum Tunnel. Op Linux weist ip -6 route get fir d'Destinatioun de Interface an d'Quell, déi ausgewielt géife ginn.

Kuckt duerno den Tunnel selwer no. WireGuard-Peeren droen eng Lëscht vun erlaabten IPen, an en Agang fir 0.0.0.0/0 seet näischt iwwer IPv6. Wann d'Lëscht vun der Peer kee IPv6-Präfix huet, huet de Client kee Grond, AAAA-Trafic an den Tunnel ze schécken, an de Pak geet dee Wee eraus, deen den Host soss geholl hätt.

Firewall-Regele mat NAT-Politik verdéngen déi selwecht Kontroll pro Famill. Eng Regel, déi fir IPv4 geschriwwe gouf, deckt IPv6 op kenger Plattform of, an dat ass deen heefegste Grond, firwat eng Famill funktionéiert an déi aner net.

Deaktivéiert IPv6 net, fir de Screenshot einfach ze halen

IPv6 systemwäit auszeschalten léisst de Symptom verschwannen an hält Iech ouni Diagnos zréck. Et brécht och all Zil, dat nëmmen IPv6 ass, an et verstoppt dee selwechte Feeler fir déi nächst Applikatioun. Wann eng Maschinn wierklech keen IPv6 soll benotzen, ass dat eng bewosst Politik mat engem Besëtzer an engem Test. Et während engem Tëschefall ausschalten ass keens vun deenen zwou.

Decidéiert, wat de Client mat der Famill soll maachen, a konfiguréiert dat explizit: drot se duerch den Tunnel, oder blockéiert se op eng ënnerstëtzt Manéier, sou datt d'Wiel ni eng onerreechbar Kandidatin ubitt. Béides si legitim Designen. Eng global Deaktivéierung ass keens vun deenen zwou, well et iwwerhaapt keen Design ass.

Wat an den Ticket gehéiert

Notéiert véier Saachen: den Hostnumm, d'Famill, déi feelgeet, d'Route, déi de Kernel gewielt huet, an d'Resultat vun enger famillspezifescher Ufro. Dee Set duergeet, fir datt een aneren de Feeler reproduzéiere kann, ouni ze roden, wéi ee vun deenen zwee Weeër Dir gemengt hutt.

D'Regele fir Adressauswiel vum RFC 6724 erklären, firwat de Client déi Kandidatin bevirzugt huet, déi hien bevirzugt huet, an RFC 8305 erkläert d'Courseverhalen, dat d'Verzögerung verstoppt huet. Keens vun deenen zwee wäert e Pak fir Iech route, an dat ass den Deel, deen den Tunnel misst maachen.