DS-Lite го блокира влезниот IPv4 хостинг, а не излезниот VPN

Состојбата на преводот ја следи страната што ја започнува врската. Следете излезно барање низ B4 и AFTR, потоа видете зошто хостингот не успева.

DS-Lite е начин да му се даде на клиентот IPv4 поврзување преку пристапна мрежа што пренесува само IPv6. Домашниот рутер нема своја посветена јавна IPv4 адреса, и овој единствен факт ги убедува луѓето дека IPv4 VPN не може да работи од таа врска. Во излезна насока обично работи добро. Врската ја преведува добавувачот, а далечната страна гледа обичен IPv4 клиент. Она што се крши е спротивната насока: хостинг на нешто што очекува непобарано влезно IPv4. Разликата е која страна го започнува разговорот.

Која страна ја започнува врската

Клиент што започнува врска создава состојба на превод во текот на работата. Преведувачот на добавувачот го гледа првиот пакет, доделува мапирање и го препраќа. Повратниот сообраќај се совпаѓа со тоа мапирање бидејќи мапирањето веќе постои.

Серверот што чека врски нема таква состојба да создаде. Некој однадвор мора да стигне до адреса и порта што добавувачот не се согласил да ги мапира, а тоа е сосема друго барање.

Следете излезно барање

Архитектурата во RFC 6333 ги именува двата краја. Елементот на клиентската страна е B4, кој инкапсулира IPv4 во IPv6. Елементот на страната на добавувачот е AFTR, кој го извршува преводот на адресата и го препраќа пакетот како IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

VPN серверот прима нормална IPv4 врска од преведената адреса на добавувачот. Не му треба DS-Lite режим, посебна порта или сознание дека пристапната мрежа на клиентот е само IPv6. Тоа е делот што луѓето го пропуштаат: далечната страна не може да го препознае.

Сопствената конфигурација на клиентот е исто толку обична. И треба работна IPv4 патека до серверот, која B4 и AFTR ја обезбедуваат, и треба името на домаќинот на серверот да се реши во IPv4 адреса.

Зошто влезниот хостинг е случајот што не успева

Да се води IPv4 VPN сервер дома е решение што се судира со заедничкото адресирање на добавувачот. Преведувачот на добавувачот ги поседува јавната адреса и табелата за мапирање и нема причина да создаде постојано влезно мапирање за еден претплатник.

Правилото за препраќање порта на домашниот рутер не може да го конфигурира AFTR. Правилото е вистинско и точно на локалниот уред и не менува ништо нагоре по текот, затоа симптомот изгледа како проблем со огнен ѕид што не поминува.

Тука преводот на ниво на оператор се разликува од една јавна адреса: дури и точно локално препраќање може да слета на адреса што ја делат многу претплатници.

Дијагностицирајте пред да го смените планот за пристап

Прво потврдете го обезбедениот режим. Вградениот двоен стек, DS-Lite и мрежа само со IPv6 што користи друг механизам за превод се три различни поставки, а маркетинг имињата на добавувачот не секогаш се совпаѓаат со техничкото.

Потоа утврдете четири набљудувања за излезен дефект. Дали клиентот го решава името на VPN домаќинот во IPv4 одредиште? Дали работи обичната IPv4 поврзаност, наместо барање од прелистувач што можеби тивко користело IPv6? Кој транспорт и порта ги обидува клиентот, и дали дневниците на крајната точка воопшто го гледаат тоа обидување? Дали дефектот се случува при почетната размена, по период на мирување или само при поголеми преноси?

Тие четири одговори укажуваат на филтрирање, истекување на состојбата на превод, погрешна крајна точка или ракување со големината на пакетот. Ништо од тоа не се утврдува со гледање DS-Lite на страницата на сметката.

Читајте ги промените на добавувачот внимателно

Промена на сметка може да се совпадне со работна врска додека менува неколку својства одеднаш. Запишете кое својство се сменило, бидејќи новото име на пакетот не е техничко објаснување.

Упатството да се вклучи двоен стек е двосмислено додека некој не потврди што добавувачот навистина обезбедува. Третирањето како универзален услов за IPv4 VPN клиенти го претвора претпоставката во политика.

Ако вистинскиот услов е влезен IPv4 хостинг, разговарајте со добавувачот за поддржана влезна поставка, вградено адресирање или друг дизајн за пристап. Ако условот е преносен сметач што стигнува до оддалечен сервер, прашајте наместо тоа за точно тој излезен тек. Ред на работа: именувајте ја насоката, потврдете го обезбедениот режим, тестирајте обичен IPv4 и еден транспорт, и сменете го планот за пристап само ако насоката навистина го бара тоа.

Поврзани статии