DS-Lite blokuoja gaunamą IPv4 prieglobą, o ne išeinantį VPN

Vertimo būsena seka tą pusę, kuri pradeda ryšį. Sekite išeinantį užklausą per B4 ir AFTR, tada pažiūrėkite, kodėl priegloba nepavyksta.

DS-Lite – tai būdas suteikti klientui IPv4 ryšį per prieigos tinklą, kuris perduoda tik IPv6. Namų maršrutizatorius neturi savo atskiro viešo IPv4 adreso, ir šis vienintelis faktas įtikina žmones, kad IPv4 VPN negali veikti iš to ryšio. Išeinančia kryptimi jis paprastai veikia gerai. Ryšį verčia paslaugų teikėjas, o tolimoji pusė mato įprastą IPv4 klientą. Sugenda priešinga kryptis: priegloba to, kas tikisi neprašyto gaunamo IPv4. Skirtumas – kuri pusė pradeda pokalbį.

Kuri pusė pradeda ryšį

Klientas, pradedantis ryšį, eigoje kuria vertimo būseną. Paslaugų teikėjo vertėjas mato pirmąjį paketą, priskiria atvaizdavimą ir persiunčia jį. Grįžtantis srautas atitinka tą atvaizdavimą, nes atvaizdavimas jau egzistuoja.

Serveris, laukiantis ryšių, neturi tokios būsenos, kurią sukurtų. Kažkas iš išorės turi pasiekti adresą ir prievadą, kurių teikėjas nesutiko atvaizduoti, ir tai visiškai kita užklausa.

Sekite išeinantį užklausą

Architektūra RFC 6333 įvardija abu galus. Kliento pusės elementas yra B4, kuris įdeda IPv4 į IPv6. Teikėjo pusės elementas yra AFTR, kuris atlieka adreso vertimą ir persiunčia paketą kaip IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

VPN serveris gauna įprastą IPv4 ryšį iš teikėjo išversto adreso. Jam nereikia DS-Lite režimo, specialaus prievado ar žinojimo, kad kliento prieigos tinklas yra tik IPv6. Būtent šią dalį žmonės praleidžia: tolimoji pusė to negali atpažinti.

Paties kliento konfigūracija tokia pat įprasta. Jai reikia veikiančio IPv4 kelio iki serverio, kurį užtikrina B4 ir AFTR, ir reikia, kad serverio pagrindinio kompiuterio vardas būtų išspręstas į IPv4 adresą.

Kodėl gaunama priegloba yra tas atvejis, kuris nepavyksta

Prieglobos serverio IPv4 namuose paleidimas yra sprendimas, kuris susiduria su bendru teikėjo adresavimu. Teikėjo vertėjas valdo viešą adresą ir atvaizdavimo lentelę ir neturi priežasties vienam abonentui kurti nuolatinio gaunamo atvaizdavimo.

Namų maršrutizatoriaus prievado persiuntimo taisyklė negali sukonfigūruoti AFTR. Taisyklė yra tikra ir teisinga vietiniame įrenginyje, ir ji nieko nekeičia aukščiau, todėl simptomas atrodo kaip nepraeinančios ugniasienės problema.

Čia taip pat operatoriaus lygmens vertimas skiriasi nuo vieno viešo adreso: net teisingas vietinis persiuntimas gali atsidurti adrese, kurį dalijasi daug abonentų.

Diagnozuokite prieš keisdami prieigos planą

Pirmiausia patvirtinkite paruoštą režimą. Savoji dviguba rietuvė, DS-Lite ir tik IPv6 tinklas, naudojantis kitą vertimo mechanizmą, yra trys skirtingos sąrangos, o teikėjo rinkodaros pavadinimai ne visada atitinka techninį.

Tada nustatykite keturis stebėjimus išeinančiam gedimui. Ar klientas išsprendžia VPN pagrindinio kompiuterio vardą į IPv4 paskirties vietą? Ar veikia paprastas IPv4 ryšys, o ne naršyklės užklausa, kuri galėjo tyliai naudoti IPv6? Kokį transportą ir prievadą bando klientas, ir ar pabaigos taško žurnalai apskritai mato tą bandymą? Ar gedimas įvyksta pirminio apsikeitimo metu, po neveiklumo laikotarpio, ar tik didesniuose perdavimuose?

Šie keturi atsakymai nurodo filtravimą, vertimo būsenos pasibaigimą, neteisingą pabaigos tašką arba paketo dydžio apdorojimą. Nė vienas jų nenustatomas pamačius DS-Lite paskyros puslapyje.

Atidžiai skaitykite teikėjo pakeitimus

Paskyros pakeitimas gali sutapti su veikiančiu ryšiu ir tuo pačiu pakeisti keletą savybių. Užsirašykite, kuri savybė pasikeitė, nes naujas paketo pavadinimas nėra techninis paaiškinimas.

Nurodymas įjungti dvigubą rietuvę yra dviprasmis, kol kas nors nepatvirtina, ką teikėjas iš tikrųjų paruošia. Vertinti jį kaip visuotinį reikalavimą IPv4 VPN klientams reiškia paversti spėjimą politika.

Jei tikrasis reikalavimas yra gaunama IPv4 priegloba, aptarkite su teikėju palaikomą gaunamą sąrangą, savąjį adresavimą arba kitą prieigos projektą. Jei reikalavimas yra nešiojamasis kompiuteris, pasiekiantis nuotolinį serverį, paklauskite vietoj to apie tą tikslų išeinantį srautą. Darbo tvarka: įvardykite kryptį, patvirtinkite paruoštą režimą, išbandykite paprastą IPv4 ir vieną transportą, o prieigos planą keiskite tik jei kryptis to tikrai reikalauja.

Susiję straipsniai