DS-Lite gelen IPv4 barındırmayı engeller, giden VPN’i değil

Çeviri durumu bağlantıyı başlatan tarafı izler. B4 ve AFTR üzerinden giden bir isteği izleyin, sonra barındırmanın neden başarısız olduğunu görün.

DS-Lite, bir müşteriye yalnızca IPv6 taşıyan bir erişim ağı üzerinden IPv4 bağlantısı vermenin bir yoludur. Ev yönlendiricisinin kendine ait özel bir genel IPv4 adresi yoktur ve bu tek gerçek, insanları o bağlantıdan IPv4 VPN’in çalışamayacağına inandırır. Giden yönde genellikle sorunsuz çalışır. Bağlantıyı sağlayıcı çevirir ve uzak uç sıradan bir IPv4 istemcisi görür. Bozulan şey ters yöndür: istenmeyen gelen IPv4 bekleyen bir şeyi barındırmak. Fark, konuşmayı hangi tarafın başlattığıdır.

Bağlantıyı hangi taraf başlatır

Bağlantıyı başlatan istemci, ilerledikçe çeviri durumu oluşturur. Sağlayıcının çeviricisi ilk paketi görür, bir eşleme ayırır ve iletir. Dönen trafik bu eşlemeyle eşleşir çünkü eşleme zaten vardır.

Bağlantıları bekleyen bir sunucunun oluşturacak böyle bir durumu yoktur. Dışarıdan biri, sağlayıcının eşlemeyi kabul etmediği bir adrese ve porta ulaşmalıdır ve bu tamamen farklı bir istektir.

Giden bir isteği izleyin

Mimarî RFC 6333 iki ucu da adlandırır. İstemci tarafındaki öğe, IPv4’ü IPv6 içine kapsülleyen B4’tür. Sağlayıcı tarafındaki öğe, adres çevirisini yapan ve paketi IPv4 olarak ileten AFTR’dir.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

VPN sunucusu, sağlayıcının çevrilmiş adresinden normal bir IPv4 bağlantısı alır. DS-Lite kipine, özel bir porta veya istemcinin erişim ağının yalnızca IPv6 olduğunu bilmeye ihtiyaç duymaz. İnsanların gözden kaçırdığı kısım budur: uzak uç bunu anlayamaz.

İstemcinin kendi yapılandırması da aynı ölçüde sıradandır. B4 ve AFTR’nin sağladığı, sunucuya giden çalışan bir IPv4 yoluna ihtiyaç duyar ve sunucunun ana makine adının bir IPv4 adresine çözülmesi gerekir.

Gelen barındırma neden başarısız olan durumdur

Evde IPv4 tabanlı bir VPN sunucusu çalıştırmak, sağlayıcının paylaşılan adreslemesiyle çakışan tasarımdır. Sağlayıcının çeviricisi genel adrese ve eşleme tablosuna sahiptir ve tek bir abone için kalıcı bir gelen eşlemesi oluşturmak için hiçbir nedeni yoktur.

Ev yönlendiricisindeki bir port yönlendirme kuralı AFTR’yi yapılandıramaz. Kural yerel aygıtta gerçek ve doğrudur ve yukarı akışta hiçbir şeyi değiştirmez, bu yüzden belirti geçmeyen bir güvenlik duvarı sorunu gibi görünür.

Burada operatör düzeyindeki çeviri tek bir genel adresten ayrılır: doğru bir yerel yönlendirme bile birçok abonenin paylaştığı bir adrese düşebilir.

Erişim planını değiştirmeden önce tanı koyun

Önce sağlanan kipi doğrulayın. Yerel çift yığın, DS-Lite ve başka bir çeviri mekanizması kullanan yalnızca IPv6 ağ üç farklı düzenlemedir ve sağlayıcının pazarlama adları her zaman teknik olanla örtüşmez.

Ardından giden bir arıza için dört gözlem belirleyin. İstemci VPN ana makine adını bir IPv4 hedefine çözüyor mu? Tarayıcı isteği yerine düz IPv4 bağlantısı çalışıyor mu — o istek sessizce IPv6 kullanmış olabilir? İstemci hangi taşıma ve portu deniyor ve uç nokta günlükleri bu denemeyi hiç görüyor mu? Arıza ilk alışveriş sırasında mı, bir boşta kalma döneminden sonra mı, yoksa yalnızca daha büyük aktarımlarda mı oluyor?

Bu dört yanıt filtrelemeye, çeviri durumunun süresinin dolmasına, yanlış bir uç noktaya veya paket boyutu işlemeye işaret eder. Hiçbiri hesap sayfasında DS-Lite görmekle kanıtlanmaz.

Sağlayıcı değişikliklerini dikkatle okuyun

Bir hesap değişikliği çalışan bir bağlantıyla aynı zamana denk gelirken birkaç özelliği birden değiştirebilir. Hangi özelliğin değiştiğini kaydedin, çünkü yeni bir paket adı teknik bir açıklama değildir.

Çift yığını etkinleştirme talimatı, sağlayıcının gerçekte ne sağladığını biri doğrulayana kadar belirsizdir. Bunu IPv4 VPN istemcileri için evrensel bir gereklilik saymak, bir varsayımı politikaya dönüştürür.

Gerçek gereklilik gelen IPv4 barındırma ise, sağlayıcıyla desteklenen bir gelen düzenleme, yerel adresleme veya başka bir erişim tasarımı görüşün. Gereklilik uzak bir sunucuya ulaşan dizüstü bilgisayar ise, bunun yerine tam o giden akışı sorun. İş sırası: yönü adlandırın, sağlanan kipi doğrulayın, düz IPv4 ve tek bir taşımayı test edin, erişim planını yalnızca yön gerçekten gerektiriyorsa değiştirin.

İlgili makaleler