DS-Lite blokuje prichádzajúci hosting IPv4, nie odchádzajúci VPN

DS-Lite je spôsob, ako dať zákazníkovi pripojenie IPv4 cez prístupovú sieť, ktorá prenáša len IPv6. Domáci router nemá vlastnú vyhradenú verejnú adresu IPv4, a tento jediný fakt presvedčí ľudí, že IPv4 VPN z takého pripojenia nemôže fungovať. Odchádzajúcim smerom to zvyčajne funguje dobre. Spojenie prekladá poskytovateľ a vzdialená strana vidí bežného klienta IPv4. Pokazí sa opačný smer: hosting niečoho, čo očakáva nevyžiadaný prichádzajúci IPv4. Rozdiel je v tom, ktorá strana začne rozhovor.

Ktorá strana začína spojenie

Klient, ktorý spojenie iniciuje, vytvára stav prekladu za chodu. Prekladač poskytovateľa vidí prvý paket, pridelí mapovanie a odovzdá ho ďalej. Spätná prevádzka zodpovedá tomuto mapovaniu, pretože mapovanie už existuje.

Server, ktorý čaká na spojenia, nemá taký stav na vytvorenie. Niekto zvonka musí dosiahnuť adresu a port, ktoré poskytovateľ nesúhlasil mapovať, a to je úplne iná požiadavka.

Prejdite odchádzajúcu požiadavku

Architektúra v RFC 6333 pomenúva oba konce. Prvok na strane zákazníka je B4, ktorý zapuzdruje IPv4 do IPv6. Prvok na strane poskytovateľa je AFTR, ktorý vykonáva preklad adresy a odovzdáva paket ako IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Server VPN dostáva bežné spojenie IPv4 z preloženej adresy poskytovateľa. Nepotrebuje režim DS-Lite, špeciálny port ani povedomie o tom, že prístupová sieť zákazníka je len IPv6. To je časť, ktorú ľudia prehliadajú: vzdialená strana to nemôže rozoznať.

Vlastná konfigurácia klienta je rovnako obyčajná. Potrebuje funkčnú cestu IPv4 k serveru, ktorú zabezpečujú B4 a AFTR, a potrebuje, aby sa názov hostiteľa servera preložil na adresu IPv4.

Prečo je prichádzajúci hosting prípad, ktorý zlyháva

Prevádzkovať server VPN IPv4 doma je riešenie, ktoré naráža na zdieľané adresovanie poskytovateľa. Prekladač poskytovateľa vlastní verejnú adresu aj tabuľku mapovania a nemá dôvod vytvárať trvalé prichádzajúce mapovanie pre jedného účastníka.

Pravidlo presmerovania portu na domácom routeri nemôže nakonfigurovať AFTR. Pravidlo je na lokálnom zariadení skutočné a správne a nič vyššie nemení, preto symptóm vyzerá ako problém brány firewall, ktorý nezmizne.

Tu sa aj preklad na úrovni operátora odlišuje od jednej verejnej adresy: aj správne lokálne presmerovanie môže skončiť na adrese, ktorú zdieľa veľa účastníkov.

Diagnostikujte, kým zmeníte plán prístupu

Najprv potvrďte zriadený režim. Natívny dvojitý zásobník, DS-Lite a sieť len s IPv6 používajúca iný mechanizmus prekladu sú tri rôzne usporiadania a marketingové názvy poskytovateľa nie vždy zodpovedajú technickému.

Potom stanovte štyri pozorovania pre odchádzajúce zlyhanie. Preloží klient názov hostiteľa VPN na cieľ IPv4? Funguje prosté pripojenie IPv4 namiesto požiadavky prehliadača, ktorá mohla ticho použiť IPv6? Ktorý transport a port klient skúša a vidia protokoly koncového bodu tento pokus vôbec? Nastáva zlyhanie počas úvodnej výmeny, po období nečinnosti alebo len pri väčších prenosoch?

Tieto štyri odpovede ukazujú na filtrovanie, vypršanie stavu prekladu, nesprávny koncový bod alebo spracovanie veľkosti paketu. Nič z toho sa nepreukáže tým, že na stránke účtu uvidíte DS-Lite.

Čítajte zmeny poskytovateľa pozorne

Zmena účtu sa môže kryť s funkčným spojením a zároveň meniť niekoľko vlastností naraz. Zaznamenajte, ktorá vlastnosť sa zmenila, pretože nový názov balíka nie je technické vysvetlenie.

Pokyn zapnúť dvojitý zásobník je nejednoznačný, kým niekto nepotvrdí, čo poskytovateľ skutočne zriaďuje. Považovať ho za univerzálnu požiadavku pre klientov IPv4 VPN mení domnienku na politiku.

Ak je skutočnou požiadavkou prichádzajúci hosting IPv4, preberte s poskytovateľom podporované prichádzajúce usporiadanie, natívne adresovanie alebo iný návrh prístupu. Ak je požiadavkou notebook dosahujúci vzdialený server, pýtajte sa namiesto toho na presne tento odchádzajúci tok. Poradie práce: pomenujte smer, potvrďte zriadený režim, otestujte prosté IPv4 a jeden transport, a plán prístupu zmeňte iba vtedy, ak to smer skutočne vyžaduje.