Sieť iba s IPv6 pokazí VPN skôr, než sa tunel spustí

Notebook sa pripojí ku konferenčnej Wi-Fi, ktorá rozdáva iba IPv6, klient VPN sa točí a zlyhá, a ten istý profil pred hodinou fungoval v hoteli. Na prihlasovacích údajoch sa nič nezmenilo. Zmenilo sa to, že klient teraz musí dosiahnuť destináciu IPv4 cez sieť, ktorá nesie iba IPv6, a nie každý klient to vie.

Prejdite tých istých päť krokov, ktorými prechádzajú pakety.

Krok 1: sledujte vyhľadanie názvu

Ak profil používa názov hostiteľa, prvá otázka je, čo vracia resolver. dig AAAA vpn.example.com v sieti iba s IPv6 vracia skutočný záznam AAAA, syntetizovaný záznam z DNS64 alebo nič. Syntetizovaná odpoveď kóduje destináciu IPv4 vnútri prekladového prefixu, a až potom sa k nej klient bez destinácie IPv6 dostane. Profil s pevne zadanou adresou IPv4 sa sem nikdy nedostane, pretože nie je žiadne meno na syntézu.

Ten jediný rozdiel vysvetľuje väčšinu hlásení „tam to funguje, tu nie“, a na jeho videnie stačí jeden príkaz.

Krok 2: pozrite sa, ktorú rodinu klient vytočil

Sledujte socket, nie ukazovateľ priebehu. Klient, ktorý na linke iba s IPv6 otvorí socket IPv4 na adresu IPv4, nemá kam ho poslať, a zlyhanie sa prejaví ako časový limit, nie ako chyba názvu. ss -tanp počas pripájania klienta ukáže vzdialenú adresu a rodinu, ktorú skúsil. Porovnajte to s ip -6 route, aby ste potvrdili, že predvolená trasa je skutočný ďalší skok IPv6.

Rodina adries v tabuľke socketov je fakt. Ukazovateľ priebehu je zhrnutie, ktoré napísal niekto iný.

Krok 3: oddeľte preklad od tunela

NAT64 a DNS64 sú spôsob, akým prístupová sieť dosahuje destinácie IPv4, a pre tunel po jeho postavení nerobia nič. Tunel zriadený cez prekladanú cestu si stále vyjednáva vlastné vnútorné adresovanie a vnútorné pokrytie IPv4 alebo IPv6 je samostatná otázka politiky. Ak sa klient pripojí a potom na nič nedosiahne, ste za prekladom a v smerovaní, čo je iné vyšetrovanie s inými dôkazmi.

Zlyhanie prekladu vyzerá ako nikdy sa nepripojiť. Zlyhanie vnútorného pokrytia vyzerá ako pripojiť sa a na nič nedosiahnuť.

Krok 4: otestujte rovnaký profil v inej sieti

Vezmite rovnaký profil, verziu klienta a prihlasovacie údaje do siete s duálnym zásobníkom a zopakujte. Ak tam funguje a na ceste iba s IPv6 zlyháva, premennou je prístupová sieť, nie profil. Zapíšte do tiketu verziu klienta a stav siete, pretože konečnou opravou je aktualizácia klienta alebo iná destinácia.

Hlásenie, že VPN je pokazená, je nepoužiteľné. Hlásenie, že zlyháva iba pri prístupe iba s IPv6, je hlásenie chyby.

Krok 5: opravte cestu, nie nastavenia zabezpečenia

Lákavé opravy všetko zhoršujú. Vypnutie IPv6 odstráni jedinú cestu, ktorú sieť ponúka. Nasmorovanie klienta na verejný resolver pokazí syntézu DNS64, pretože tá musí prichádzať z resolvera za prekladačom. Vypnutie overovania certifikátov vám dá spojenie s niečím, čo nedokážete identifikovať. Nič z toho nie je oprava a dve z toho sú bezpečnostné regresie, ktoré incident prežijú.

Skutočné možnosti sú klient, ktorý podporuje model sieťového prekladu, alebo destinácia s dostupnou adresou IPv6. Požiadajte o jedno z toho.