Mreža samo s IPv6 ruši VPN prije nego što tunel krene

Prijenosnik se pridružuje konferencijskom Wi-Fi-ju koji dijeli samo IPv6, VPN klijent se vrti i pada, a isti je profil prije sat vremena radio u hotelu. U vjerodajnicama se nije promijenilo ništa. Promijenilo se to što klijent sada mora doći do odredišta IPv4 preko mreže koja nosi samo IPv6, a nije svaki klijent upoznat s tim kako se to radi.

Prođite istih pet koraka kojima prolaze paketi.

Korak 1: promatrajte pretragu imena

Ako se profil koristi imenom hosta, prvo je pitanje što vraća rezolver. dig AAAA vpn.example.com na mreži samo s IPv6 vraća pravi AAAA zapis, onaj sintetiziran iz DNS64 ili baš ništa. Sintetizirani odgovor kodira odredište IPv4 unutar prefiksa za prevođenje i tek tada klijent bez odredišta IPv6 može do njega doći. Profil s čvrsto upisanom adresom IPv4 nikada ne stigne dovde jer nema imena za sintetiziranje.

Ta jedna razlika objašnjava većinu izvješća „radi tamo, pada ovdje“, a za uočavanje treba samo jedna naredba.

Korak 2: vidite koju je obitelj klijent pozvao

Promatrajte socket, a ne traku napretka. Klijent koji otvori socket IPv4 prema adresi IPv4 na vezi samo s IPv6 nema kamo ga poslati, a kvar se pokazuje kao istek vremena, ne kao pogreška imena. ss -tanp dok se klijent povezuje pokazuje udaljenu adresu i obitelj koju je pokušao. Usporedite to s ip -6 route kako biste potvrdili da je zadana putanja pravi sljedeći skok IPv6.

Obitelj adresa u tablici socketa je činjenica. Traka napretka sažetak je koji je napisao netko drugi.

Korak 3: odvojite prevođenje od tunela

NAT64 i DNS64 način su na koji pristupna mreža dolazi do odredišta IPv4 i ne čine ništa za tunel nakon što se podigne. Tunel uspostavljen preko prevedene putanje i dalje pregovara vlastito unutarnje adresiranje, a unutarnja pokrivenost IPv4 ili IPv6 zasebno je pitanje politike. Ako se klijent poveže i potom ništa ne dosegne, prošli ste prevođenje i ušli u usmjeravanje, što je druga istraga s drugim dokazima.

Kvar prevođenja izgleda kao da se nikada ne poveže. Kvar unutarnje pokrivenosti izgleda kao da se poveže i ništa ne dosegne.

Korak 4: testirajte isti profil na drugoj mreži

Odnesite isti profil, verziju klijenta i vjerodajnice na mrežu s dvostrukim stogom i ponovite. Ako tamo radi, a pada na putanji samo s IPv6, varijabla je pristupna mreža, a ne profil. Zabilježite verziju klijenta i stanje mreže u tiket, jer je konačno rješenje ažuriranje klijenta ili drugo odredište.

Izvješće koje kaže da je VPN pokvaren nije provedivo. Izvješće koje kaže da pada samo na pristupu samo s IPv6 jest izvješće o pogrešci.

Korak 5: popravite putanju, ne sigurnosne postavke

Primamljivi popravci sve pogoršavaju. Isključivanje IPv6 uklanja jedinu putanju koju mreža nudi. Usmjeravanje klijenta na javni rezolver kvari sintezu DNS64 jer ta sinteza mora doći od rezolvera iza prevoditelja. Isključivanje provjere certifikata daje vam vezu s nečim što ne možete identificirati. Ništa od toga nije popravak, a dva su sigurnosne regresije koje će nadživjeti incident.

Prave su mogućnosti klijent koji podržava model mrežnog prevođenja ili odredište s dostupnom adresom IPv6. Zatražite jedno od toga.