Firwat änneren sech DNS64-Äntwerten, soubal de VPN sech verbënnt?

DNS64-Äntwerten beschreiwen eng Netzwierk-Anuerdnung an net eng Eegenschaft vum Server. Den Resolver synthetiséiert eng IPv6-Adress aus enger IPv4-Adress, an d'Resultat funktionéiert nëmmen do, wou en Iwwersetzer um Enn vun deem Prefix sëtzt. Bréngt e VPN an de Wee, an déi Anuerdnung kann halen, sech änneren oder ophéieren wouer ze sinn, jee no dräi Bedingungnen.

Déi Bedingunge sinn den Resolver, deen geäntwert huet, de Wee, deen Ären Apparat zum synthetiséierte Prefix huet, an ob eppes op deem Wee d'Iwwersetzung mécht. Jiddwereen ass observéierbar, an dat ass wat de Feeler diagnostizéierbar mécht.

Op wat en synthetiséierte AAAA-Record tatsächlech weist

En DNS64-Resolver äntwert op eng AAAA-Ufro fir en Numm mat just IPv4, andeems en d'IPv4-Adress an e Prefix abett, deen en konfiguréiert ass ze benotzen, an de bekannte Prefix fir déi Aarbecht ass 64:ff9b::/96 wéi an RFC 6147 beschriwwen. De Record gesäit fir d'Applikatioun aus wéi all aneren AAAA-Record, an dat ass de Punkt: en Client mat just IPv6 kann eng Verbindung probéieren, ouni ze wëssen, datt d'Destinatioun ni IPv6 hat. Déi Verbindung hänkt dann vun enger NAT64-Funktioun of, déi iergendwou op dem Wee tëscht den zwou Familljen iwwersetzt. Ouni deen Iwwersetzer ass déi synthetiséiert Adress eng glaubwürdeg ausgesinn Destinatioun, déi néierens hiféiert.

De Record kodéiert deemno zwou Saachen gläichzäiteg: déi originell IPv4-Adress an d'Annam, datt en Iwwersetzer erreechbar ass. Nëmmen déi éischt ass an der Äntwert selwer sichtbar.

Dräi Bedingunge entscheeden, ob et nach fonctionnéiert

Déi éischt Bedingung ass, wéi en Resolver de Record produzéiert huet, well een ouni konfiguréierten DNS64 fir deen Numm näischt zréckgëtt an d'Applikatioun op eng aner Manéier feelt. Déi zweet ass, ob Ären Apparat e Wee zum synthetiséierte Prefix huet, well eng Äntwert ka gülteg sinn, während de Wee dohin feelt. Déi drëtt ass, ob den Iwwersetzer, deem dee Prefix gehéiert, op dem Wee ass, deen Dir benotze géift, well en Tunnel, deen 64:ff9b::/96 soss wouhi dréit, eng aner Funktioun oder näischt erreecht. All dräi kënnen virum Tunnel halen an duerno feelen, an dofir gesäit de Symptom aus wéi eng plötzlech Regressioun.

Kontrolléiert se an där Reihenfolleg. Eng feelend Äntwert an e feelende Wee gesinn an engem Browser gläich aus an an engem Resolverlog komplett anescht.

Wann den Resolver sech ännert, ännert sech d'Äntwert

En VPN-Client dréckt dacks säin eegene Resolver duerch oder iwwerhëlt de ganzen Ufrowee, an deen Resolver synthetiséiert vläicht näischt. Ufroe fir Nimm mat just IPv4 ginn dann keen AAAA-Record zréck, wat en Client mat just IPv6 als en Numm erlieft, deen en net erreeche kann. Och ëmgedréint geschitt et: en Resolver, deen tatsächlech synthetiséiert, kann Iech e Prefix ginn, deen Ären getunnelte Wee net dréit.

D'Cache maachet dëst méi schwéier ze gesinn. En synthetiséierte Record, deen am Büro-Netzwierk kritt gouf, kann de Kontext iwwerliewe, deen en produzéiert huet, sou datt de Client weider eng Adress verbënnt, där hiren Iwwersetzer net méi erreechbar ass. Kuckt den Resolver, deen elo äntwert, an net deen, deen geäntwert huet, wéi den Andrag gespäichert gouf. Den Cache eidel maachen, ouni déi al an déi nei Äntwert opzeschreiwen, zerstéiert de Beweis, deen Dir braucht.

Test de Lookup an de Wee getrennt

Frot den Numm direkt, ier Dir d'Applikatioun mat abezitt, a notéiert, wéi e Server geäntwert huet. D'Befehler hei drënner weisen den AAAA-Record, den Resolver dee benotzt gëtt, an ob et e Wee zum synthetiséierte Prefix gëtt. Fuert se aus, wann den Tunnel erof ass, an duerno nach eng Kéier, wann en erop ass.

dig AAAA ipv4only.example.com +short
dig AAAA ipv4only.example.com | grep -E '^;; SERVER'
ip -6 route get 64:ff9b::c000:0216
curl -6 -sS -o /dev/null -w '%{http_code} %{time_connect}\n' --max-time 8 http://ipv4only.example.com/

Liest d'Resultater als eng Kette. E feelenden AAAA-Record heescht, datt den Resolver virun Iech net synthetiséiert, also wäert e Wee mat just IPv6 fir deen Numm net fonctionnéieren, egal wat de Client mécht. E Record do, awer kee Wee heescht, datt de Prefix net vum aktuellen Wee gedroe gëtt, an dat ass eng Routing-Entscheedung an net e Resolverfeeler. E Wee do, während d'Ufro nach ëmmer feelt, weist op den Iwwersetzer selwer, an dat gehéiert nach engem aneren Eegentmer.

Notéiert den Resolver, de Netzwierkkontext an d'Adressfamill nieft all Resultat. Genee déi Notiz erméiglecht dem nächste Verglach, eng Resolverännerung vun enger Routingännerung ze trennen.