DS-Lite blokira dolazni IPv4 hosting, a ne odlazni VPN

Stanje prijevoda prati stranu koja započinje vezu. Pratite odlazni zahtjev kroz B4 i AFTR, a zatim pogledajte zašto hosting umjesto toga ne uspijeva.

DS-Lite je način da se korisniku pruži IPv4 povezivost preko pristupne mreže koja prenosi samo IPv6. Kućni usmjerivač nema vlastitu namjensku javnu IPv4 adresu, a ta jedna činjenica uvjerava ljude da IPv4 VPN ne može raditi s te veze. U odlaznom smjeru obično radi dobro. Veza se prevodi kod pružatelja usluge, a udaljena strana vidi običnog IPv4 klijenta. Ono što se kvari jest suprotni smjer: hosting nečega što očekuje neželjeni dolazni IPv4. Razlika je u tome koja strana započinje razgovor.

Koja strana započinje vezu

Klijent koji započinje vezu stvara stanje prijevoda kako ide. Pružateljev prevoditelj vidi prvi paket, dodjeljuje mapiranje i prosljeđuje ga. Povratni promet odgovara tom mapiranju jer mapiranje već postoji.

Poslužitelj koji čeka veze nema takvo stanje za stvaranje. Netko izvana mora doći do adrese i porta koje pružatelj nije pristao mapirati, a to je posve drugi zahtjev.

Pratite odlazni zahtjev

Arhitektura u RFC 6333 imenuje oba kraja. Element na strani klijenta je B4, koji ugrađuje IPv4 u IPv6. Element na strani pružatelja je AFTR, koji obavlja prijevod adrese i prosljeđuje paket kao IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

VPN poslužitelj prima normalnu IPv4 vezu s prevedene adrese pružatelja. Ne treba mu DS-Lite način rada, poseban port ni svijest o tome da je klijentova pristupna mreža samo IPv6. To je dio koji ljudi propuštaju: udaljena strana to ne može prepoznati.

Klijentova vlastita konfiguracija jednako je obična. Potreban joj je radni IPv4 put do poslužitelja, koji B4 i AFTR osiguravaju, i potrebno je da se ime poslužitelja razriješi u IPv4 adresu.

Zašto je dolazni hosting slučaj koji ne uspijeva

Pokretanje IPv4 VPN poslužitelja kod kuće je dizajn koji se sudara s dijeljenim adresiranjem pružatelja. Pružateljev prevoditelj posjeduje javnu adresu i tablicu mapiranja i nema razloga stvarati trajno dolazno mapiranje za jednog pretplatnika.

Pravilo prosljeđivanja porta na kućnom usmjerivaču ne može konfigurirati AFTR. Pravilo je stvarno i ispravno na lokalnom uređaju i ne mijenja ništa uzvodno, zato simptom izgleda kao problem s vatrozidom koji ne prolazi.

Tu se prijevod na razini operatora razlikuje od jedne javne adrese: čak i ispravno lokalno prosljeđivanje može završiti na adresi koju dijeli mnogo pretplatnika.

Dijagnosticirajte prije promjene plana pristupa

Najprije potvrdite dodijeljeni način rada. Ugrađeni dvostruki složaj, DS-Lite i mreža samo s IPv6 koja koristi drugi mehanizam prijevoda tri su različita uređenja, a marketinška imena pružatelja ne odgovaraju uvijek tehničkom.

Zatim utvrdite četiri zapažanja za odlazni neuspjeh. Razrješava li klijent ime VPN poslužitelja u IPv4 odredište? Radi li obična IPv4 povezivost, umjesto zahtjeva preglednika koji je možda tiho koristio IPv6? Koji prijenos i port klijent pokušava i vide li zapisi krajnje točke taj pokušaj uopće? Događa li se neuspjeh tijekom početne razmjene, nakon razdoblja mirovanja ili samo na većim prijenosima?

Ta četiri odgovora upućuju na filtriranje, istek stanja prijevoda, pogrešnu krajnju točku ili obradu veličine paketa. Nijedno od toga ne utvrđuje se time što na stranici računa vidite DS-Lite.

Pažljivo čitajte promjene pružatelja

Promjena na računu može se poklopiti s radnom vezom, a istodobno promijeniti nekoliko svojstava odjednom. Zabilježite koje se svojstvo promijenilo, jer novo ime paketa nije tehničko objašnjenje.

Uputa da uključite dvostruki složaj dvosmislena je dok netko ne potvrdi što pružatelj stvarno osigurava. Tretiranje toga kao univerzalnog zahtjeva za IPv4 VPN klijente pretvara pretpostavku u politiku.

Ako je stvarni zahtjev dolazni IPv4 hosting, razgovarajte s pružateljem o podržanom dolaznom uređenju, ugrađenom adresiranju ili drugom dizajnu pristupa. Ako je zahtjev prijenosno računalo koje doseže udaljeni poslužitelj, pitajte umjesto toga o tom točnom odlaznom toku. Redoslijed rada: imenujte smjer, potvrdite dodijeljeni način rada, testirajte obični IPv4 i jedan prijenos, a zatim promijenite plan pristupa samo ako smjer to doista zahtijeva.

Povezani članci