Hinaharang ng DS-Lite ang papasok na IPv4 hosting, hindi ang palabas na VPN

Ang DS-Lite ay isang paraan ng pagbibigay sa kliyente ng IPv4 connectivity sa isang access network na nagdadala lamang ng IPv6. Walang sariling dedikadong pampublikong IPv4 address ang router sa bahay, at ang nag-iisang katotohanang iyon ang nagkukumbinsi sa mga tao na hindi maaaring gumana ang IPv4 VPN mula sa koneksyong iyon. Sa palabas na direksyon, karaniwang gumagana ito nang maayos. Isinasalin ng provider ang koneksyon, at ang malayong dulo ay nakakakita ng ordinaryong IPv4 client. Ang nasisira ay ang kabaligtarang direksyon: pagho-host ng isang bagay na umaasa sa hindi hinihinging papasok na IPv4. Ang pagkakaiba ay kung aling panig ang nagbubukas ng usapan.

Aling panig ang nagbubukas ng koneksyon

Ang kliyenteng nag-uumpisa ng koneksyon ay gumagawa ng estado ng pagsasalin habang tumatakbo. Nakikita ng tagasalin ng provider ang unang packet, naglalaan ng mapping at ipinapasa ito. Tumutugma ang pabalik na trapiko sa mapping na iyon dahil umiiral na ang mapping.

Ang server na naghihintay ng mga koneksyon ay walang ganoong estadong magagawa. Kailangang maabot ng isang tao mula sa labas ang isang address at port na hindi sinang-ayunan ng provider na imapa, at iyon ay ganap na ibang kahilingan.

Sundan ang palabas na kahilingan

Ang arkitektura sa RFC 6333 ay nagpapangalan sa dalawang dulo. Ang elemento sa panig ng kliyente ay ang B4, na nagbabalot ng IPv4 sa IPv6. Ang elemento sa panig ng provider ay ang AFTR, na nagsasagawa ng pagsasalin ng address at ipinapasa ang packet bilang IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Tumatanggap ang VPN server ng normal na IPv4 koneksyon mula sa isinaling address ng provider. Hindi ito nangangailangan ng DS-Lite mode, espesyal na port, o kaalaman na ang access network ng kliyente ay IPv6 lamang. Ito ang bahaging hindi napapansin ng mga tao: hindi ito matukoy ng malayong dulo.

Ang sariling configuration ng kliyente ay kasing-ordinaryo rin. Kailangan nito ng gumaganang IPv4 na landas patungo sa server, na ibinibigay ng B4 at AFTR, at kailangang maresolba ang hostname ng server sa isang IPv4 address.

Bakit ang papasok na hosting ang kasong nabibigo

Ang pagpapatakbo ng IPv4 VPN server sa bahay ang disenyong bumabangga sa pinagsasaluhang addressing ng provider. Pag-aari ng tagasalin ng provider ang pampublikong address at ang talahanayan ng mapping, at wala siyang dahilang gumawa ng permanenteng papasok na mapping para sa isang subscriber.

Hindi makokonfigura ng port-forward na tuntunin sa router sa bahay ang AFTR. Totoo at tama ang tuntunin sa lokal na aparato, at wala itong binabago sa itaas, kaya ang sintomas ay mukhang problema sa firewall na hindi nawawala.

Dito rin nagkakaiba ang pagsasalin sa antas ng operator sa isang pampublikong address: kahit ang tamang lokal na forward ay maaaring mapunta sa address na pinagsasaluhan ng maraming subscriber.

Mag-diagnose bago baguhin ang plano sa pag-access

Unahin ang pagkumpirma ng naka-provision na mode. Ang native dual stack, DS-Lite at isang IPv6-only network na gumagamit ng ibang mekanismo ng pagsasalin ay tatlong magkakaibang kaayusan, at ang mga pangalan sa marketing ng provider ay hindi laging tumutugma sa teknikal.

Pagkatapos ay magtatag ng apat na obserbasyon para sa palabas na pagkabigo. Naresolba ba ng kliyente ang hostname ng VPN sa IPv4 na destinasyon? Gumagana ba ang simpleng IPv4 connectivity, sa halip na kahilingan ng browser na maaaring tahimik na gumamit ng IPv6? Anong transport at port ang sinusubukan ng kliyente, at nakikita ba ng mga log ng endpoint ang pagtatangkang iyon? Nangyayari ba ang pagkabigo sa unang palitan, pagkatapos ng panahong walang gawin, o sa mas malalaking paglilipat lamang?

Ang apat na sagot na iyon ay tumuturo sa pag-filter, pag-expire ng estado ng pagsasalin, maling endpoint, o paghawak ng laki ng packet. Wala sa mga ito ang napatutunayan sa pamamagitan ng pagkakita ng DS-Lite sa pahina ng account.

Basahin nang mabuti ang mga pagbabago ng provider

Ang pagbabago ng account ay maaaring sumabay sa gumaganang koneksyon habang binabago ang ilang katangian nang sabay. Itala kung aling katangian ang nagbago, dahil ang bagong pangalan ng package ay hindi teknikal na paliwanag.

Ang tagubiling paganahin ang dual stack ay malabo hanggang may kumpirmahin kung ano talaga ang ipinoprovision ng provider. Ang ituring itong pangkalahatang pangangailangan para sa mga IPv4 VPN client ay ginagawang patakaran ang isang haka-haka.

Kung ang tunay na pangangailangan ay papasok na IPv4 hosting, talakayin sa provider ang sinusuportahang papasok na kaayusan, native addressing o ibang disenyo ng pag-access. Kung ang pangangailangan ay laptop na nakakaabot sa malayong server, itanong sa halip ang tungkol sa eksaktong palabas na daloy na iyon. Ayos ng trabaho: pangalanan ang direksyon, kumpirmahin ang naka-provision na mode, subukan ang simpleng IPv4 at isang transport, at baguhin ang plano sa pag-access lamang kung talagang kailangan ito ng direksyon.