Rangkaian IPv6 sahaja merosakkan VPN sebelum terowong bermula

Komputer riba menyertai Wi-Fi persidangan yang hanya mengedarkan IPv6, klien VPN berpusing dan gagal, sedangkan profil yang sama berfungsi di hotel sejam lebih awal. Tiada apa yang berubah pada kelayakan. Yang berubah ialah klien kini perlu mencapai destinasi IPv4 melalui rangkaian yang hanya membawa IPv6, dan bukan setiap klien tahu cara melakukannya.

Lalui lima langkah yang sama seperti yang dilalui oleh paket.

Langkah 1: perhatikan carian nama

Jika profil menggunakan nama hos, soalan pertama ialah apa yang dikembalikan oleh penyelesai. dig AAAA vpn.example.com pada rangkaian IPv6 sahaja mengembalikan rekod AAAA sebenar, rekod yang disintesis daripada DNS64, atau tiada apa-apa. Jawapan yang disintesis mengekod destinasi IPv4 di dalam awalan terjemahan, dan hanya selepas itu klien tanpa destinasi IPv6 dapat mencapainya. Profil dengan alamat IPv4 yang dikodkan keras tidak pernah sampai ke sini, kerana tiada nama untuk disintesis.

Perbezaan tunggal itu menjelaskan kebanyakan laporan ‘berfungsi di sana, gagal di sini’, dan satu arahan sahaja cukup untuk melihatnya.

Langkah 2: lihat keluarga mana yang dipanggil klien

Perhatikan soket dan bukan bar kemajuan. Klien yang membuka soket IPv4 ke alamat IPv4 pada pautan IPv6 sahaja tiada tempat untuk menghantarnya, dan kegagalan muncul sebagai tamat masa dan bukan ralat nama. ss -tanp semasa klien menyambung menunjukkan alamat jauh dan keluarga yang dicubanya. Bandingkan dengan ip -6 route untuk mengesahkan bahawa lalai ialah hop IPv6 seterusnya yang sebenar.

Keluarga alamat dalam jadual soket ialah faktanya. Bar kemajuan ialah ringkasan yang ditulis oleh orang lain.

Langkah 3: asingkan terjemahan daripada terowong

NAT64 dan DNS64 ialah cara rangkaian capaian mencapai destinasi IPv4, dan kedua-duanya tidak melakukan apa-apa untuk terowong setelah ia berdiri. Terowong yang dibina di atas laluan terjemahan masih merundingkan pengalamatan dalamannya sendiri, dan liputan IPv4 atau IPv6 dalaman ialah soalan dasar yang berasingan. Jika klien menyambung dan kemudian tidak mencapai apa-apa, anda sudah melepasi terjemahan dan masuk ke penghalaan, yang merupakan siasatan lain dengan bukti lain.

Kegagalan terjemahan kelihatan seperti tidak pernah bersambung. Kegagalan liputan dalaman kelihatan seperti bersambung tetapi tidak mencapai apa-apa.

Langkah 4: uji profil yang sama pada rangkaian lain

Bawa profil, versi klien dan kelayakan yang sama ke rangkaian tindanan berganda dan ulangi. Jika ia berfungsi di sana dan gagal pada laluan IPv6 sahaja, pemboleh ubahnya ialah rangkaian capaian dan bukan profil. Catat versi klien dan keadaan rangkaian dalam tiket, kerana pembaikan akhir ialah kemas kini klien atau destinasi lain.

Laporan yang mengatakan VPN rosak tidak boleh ditindaklanjuti. Laporan yang mengatakan ia gagal hanya pada capaian IPv6 sahaja ialah laporan pepijat.

Langkah 5: betulkan laluan, bukan tetapan keselamatan

Semua pembaikan yang menggiurkan menjadikan keadaan lebih buruk. Menyahdayakan IPv6 menghapuskan satu-satunya laluan yang ditawarkan rangkaian. Menghalakan klien ke penyelesai awam memecahkan sintesis DNS64, kerana sintesis itu mesti datang daripada penyelesai di belakang penterjemah. Mematikan pengesahan sijil memberi anda sambungan kepada sesuatu yang anda tidak dapat kenal pasti. Tiada satu pun daripadanya ialah pembaikan, dan dua daripadanya ialah regresi keselamatan yang akan bertahan lebih lama daripada insiden itu.

Pilihan sebenar ialah klien yang menyokong model terjemahan rangkaian, atau destinasi dengan alamat IPv6 yang boleh dicapai. Mintalah salah satu daripadanya.