Мрежа само са IPv6 квари VPN пре него што тунел почне

Лаптоп се повезује на конференцијски Wi-Fi који дели само IPv6, VPN клијент се врти и пада, а исти профил је пре сат времена радио у хотелу. У акредитивима се ништа није променило. Променило се то што клијент сада мора да стигне до одредишта IPv4 преко мреже која носи само IPv6, и не зна сваки клијент како се то ради.

Прођите истих пет корака којима пролазе пакети.

Корак 1: посматрајте претрагу имена

Ако профил користи име хоста, прво питање је шта враћа резолвер. dig AAAA vpn.example.com на мрежи само са IPv6 враћа прави AAAA запис, онај синтетизован из DNS64 или баш ништа. Синтетизовани одговор кодира одредиште IPv4 унутар префикса за превођење и тек тада клијент без одредишта IPv6 може до њега да стигне. Профил са чврсто уписаном адресом IPv4 никада не стиже довде јер нема имена за синтетизовање.

Та једна разлика објашњава већину извештаја „ради тамо, пада овде“, а за уочавање је потребна само једна наредба.

Корак 2: видите коју је фамилију клијент позвао

Посматрајте сокет, а не траку напретка. Клијент који отвори сокет IPv4 ка адреси IPv4 на вези само са IPv6 нема где да га пошаље, а квар се показује као истек времена, не као грешка имена. ss -tanp док се клијент повезује показује удаљену адресу и фамилију коју је покушао. Упоредите то са ip -6 route да потврдите да је подразумевана путања прави следећи скок IPv6.

Фамилија адреса у табели сокета је чињеница. Трака напретка је резиме који је написао неко други.

Корак 3: одвојте превођење од тунела

NAT64 и DNS64 су начин на који приступна мрежа стиже до одредишта IPv4 и не чине ништа за тунел након што се подигне. Тунел успостављен преко преведене путање и даље преговара сопствено унутрашње адресирање, а унутрашња покривеност IPv4 или IPv6 је засебно питање политике. Ако се клијент повеже и потом ништа не достигне, прошли сте превођење и ушли у усмеравање, што је друга истрага с другим доказима.

Квар превођења изгледа као да се никада не повеже. Квар унутрашње покривености изгледа као да се повеже и ништа не достигне.

Корак 4: тестирајте исти профил на другој мрежи

Однесите исти профил, верзију клијента и акредитиве на мрежу са двоструким стеком и поновите. Ако тамо ради, а пада на путањи само са IPv6, променљива је приступна мрежа, а не профил. Забележите верзију клијента и стање мреже у тикет, јер је коначно решење ажурирање клијента или друго одредиште.

Извештај који каже да је VPN покварен није спроводљив. Извештај који каже да пада само на приступу само са IPv6 јесте извештај о грешци.

Корак 5: поправите путању, не безбедносна подешавања

Примамљиве поправке све погоршавају. Искључивање IPv6 уклања једину путању коју мрежа нуди. Усмеравање клијента на јавни резолвер квари синтезу DNS64, јер та синтеза мора да дође од резолвера иза преводиоца. Искључивање провере сертификата даје вам везу са нечим што не можете да идентификујете. Ништа од тога није поправка, а две су безбедносне регресије које ће надживети инцидент.

Праве могућности су клијент који подржава модел мрежног превођења или одредиште са доступном адресом IPv6. Затражите једно од тога.