Omrežje samo z IPv6 pokvari VPN še preden se tunel začne

Prenosnik se poveže s konferenčnim Wi-Fi, ki deli samo IPv6, odjemalec VPN se vrti in odpove, isti profil pa je uro prej deloval v hotelu. V poverilnicah se ni nič spremenilo. Spremenilo se je to, da mora odjemalec zdaj doseči cilj IPv4 prek omrežja, ki prenaša samo IPv6, in vsak odjemalec ne ve, kako to storiti.

Prehodite istih pet korakov, ki jih prehodijo paketi.

Korak 1: opazujte iskanje imena

Če profil uporablja ime gostitelja, je prvo vprašanje, kaj vrne razreševalnik. dig AAAA vpn.example.com v omrežju samo z IPv6 vrne pravi zapis AAAA, zapis, sintetiziran iz DNS64, ali nič. Sintetizirani odgovor kodira cilj IPv4 znotraj predpone za prevajanje, in šele takrat lahko odjemalec brez cilja IPv6 doseže ta cilj. Profil s trdo vpisnim naslovom IPv4 nikoli ne pride tako daleč, ker ni imena za sintetiziranje.

Ta ena razlika pojasni večino poročil »tam deluje, tukaj odpove«, za ogled pa zadostuje en ukaz.

Korak 2: poglejte, katero družino je odjemalec poklical

Opazujte vtičnico, ne vrstice napredka. Odjemalec, ki na povezavi samo z IPv6 odpre vtičnico IPv4 na naslov IPv4, je nima kam poslati, in napaka se pokaže kot potekla časovna omejitev, ne kot napaka imena. ss -tanp med povezovanjem odjemalca pokaže oddaljeni naslov in družino, ki jo je poskusil. Primerjajte to z ip -6 route, da potrdite, da je privzeta pot pravi naslednji skok IPv6.

Družina naslovov v tabeli vtičnic je dejstvo. Vrstica napredka je povzetek, ki ga je napisal nekdo drug.

Korak 3: ločite prevajanje od tunela

NAT64 in DNS64 sta način, kako dostopno omrežje doseže cilje IPv4, in za tunel po njegovem dvigu ne naredita ničesar. Tunel, vzpostavljen čez prevedeno pot, se še vedno pogaja o lastnem notranjem naslavljanju, notranja pokritost IPv4 ali IPv6 pa je ločeno vprašanje politike. Če se odjemalec poveže in nato ne doseže ničesar, ste že za prevajanjem in v usmerjanju, kar je druga preiskava z drugimi dokazi.

Odpoved prevajanja je videti kot nikolišnja povezava. Odpoved notranje pokritosti je videti kot povezava brez doseganja česarkoli.

Korak 4: preizkusite isti profil v drugem omrežju

Odneste isti profil, različico odjemalca in poverilnice v omrežje z dvojnim skladom ter ponovite. Če tam deluje in na poti samo z IPv6 odpove, je spremenljivka dostopno omrežje, ne profil. Zapišite v zahtevek različico odjemalca in stanje omrežja, ker je končna rešitev posodobitev odjemalca ali drug cilj.

Poročilo, da je VPN pokvarjen, ni izvedljivo. Poročilo, da odpove samo pri dostopu samo z IPv6, je poročilo o napaki.

Korak 5: popravite pot, ne varnostnih nastavitev

Vse vabljive popravke stanje poslabšajo. Izklop IPv6 odstrani edino pot, ki jo omrežje ponuja. Usmerjanje odjemalca na javni razreševalnik pokvari sintezo DNS64, ker mora ta sinteza priti od razreševalnika za prevajalnikom. Izklop preverjanja potrdil vam da povezavo z nečim, česar ne morete prepoznati. Nobeno od tega ni popravek, dve pa sta varnostni regresiji, ki bosta preživeli incident.

Prave možnosti so odjemalec, ki podpira model omrežnega prevajanja, ali cilj z dosegljivim naslovom IPv6. Zahtevajte eno od tega.