DS-Lite chặn lưu trữ IPv4 vào, không chặn VPN ra

DS-Lite là cách cung cấp kết nối IPv4 cho khách hàng qua một mạng truy nhập chỉ mang IPv6. Bộ định tuyến trong nhà không có địa chỉ IPv4 công cộng riêng chuyên dụng, và chỉ riêng sự thật đó khiến người ta tin rằng VPN IPv4 không thể hoạt động từ kết nối ấy. Ở chiều ra, nó thường hoạt động tốt. Nhà cung cấp dịch vụ dịch kết nối, và đầu xa thấy một máy khách IPv4 bình thường. Thứ bị hỏng là chiều ngược lại: lưu trữ một thứ mong đợi IPv4 vào không được yêu cầu. Khác biệt nằm ở phía nào bắt đầu cuộc trò chuyện.

Phía nào khởi tạo kết nối

Máy khách khởi tạo kết nối tạo trạng thái dịch trong khi đi. Bộ dịch của nhà cung cấp thấy gói đầu tiên, cấp phát một ánh xạ và chuyển tiếp nó. Lưu lượng quay về khớp với ánh xạ đó vì ánh xạ đã tồn tại.

Máy chủ chờ kết nối không có trạng thái như vậy để tạo. Ai đó bên ngoài phải chạm tới một địa chỉ và cổng mà nhà cung cấp chưa đồng ý ánh xạ, và đó là một yêu cầu hoàn toàn khác.

Theo dõi một yêu cầu ra

Kiến trúc trong RFC 6333 gọi tên cả hai đầu. Phần tử phía khách hàng là B4, đóng gói IPv4 trong IPv6. Phần tử phía nhà cung cấp là AFTR, thực hiện dịch địa chỉ và chuyển tiếp gói tin dưới dạng IPv4.

Client's IPv4 VPN packet
  → Customer B4
  → IPv4 carried over the provider's IPv6 network
  → AFTR address translation
  → IPv4 VPN server

Máy chủ VPN nhận một kết nối IPv4 bình thường từ địa chỉ đã dịch của nhà cung cấp. Nó không cần chế độ DS-Lite, cổng đặc biệt hay nhận biết rằng mạng truy nhập của khách hàng chỉ có IPv6. Đó là phần người ta bỏ sót: đầu xa không thể nhận ra.

Cấu hình của chính máy khách cũng bình thường như vậy. Nó cần một đường IPv4 hoạt động tới máy chủ, do B4 và AFTR cung cấp, và cần tên miền của máy chủ phân giải thành địa chỉ IPv4.

Vì sao lưu trữ vào là trường hợp thất bại

Chạy máy chủ VPN IPv4 tại nhà là thiết kế xung đột với cách đánh địa chỉ chia sẻ của nhà cung cấp. Bộ dịch của nhà cung cấp sở hữu địa chỉ công cộng và bảng ánh xạ, và không có lý do gì để tạo một ánh xạ vào cố định cho một thuê bao.

Một quy tắc chuyển tiếp cổng trên bộ định tuyến trong nhà không thể cấu hình AFTR. Quy tắc là thật và đúng trên thiết bị cục bộ, và nó không thay đổi gì ở phía trên, nên triệu chứng trông như một sự cố tường lửa không chịu hết.

Đây cũng là chỗ dịch ở mức nhà mạng khác với một địa chỉ công cộng duy nhất: ngay cả một chuyển tiếp cục bộ đúng cũng có thể rơi vào địa chỉ mà nhiều thuê bao chia sẻ.

Chẩn đoán trước khi đổi gói truy nhập

Trước hết hãy xác nhận chế độ đã được cấp. Chồng giao thức kép gốc, DS-Lite và một mạng chỉ IPv6 dùng cơ chế dịch khác là ba cách bố trí khác nhau, và tên tiếp thị của nhà cung cấp không phải lúc nào cũng khớp với tên kỹ thuật.

Sau đó xác lập bốn quan sát cho một lỗi chiều ra. Máy khách có phân giải tên máy chủ VPN thành đích IPv4 không? Kết nối IPv4 thuần có hoạt động không, thay vì một yêu cầu trình duyệt có thể đã lặng lẽ dùng IPv6? Máy khách thử giao thức và cổng nào, và nhật ký điểm cuối có thấy lần thử đó không? Lỗi xảy ra trong quá trình trao đổi ban đầu, sau một khoảng nhàn rỗi, hay chỉ với các lần truyền lớn hơn?

Bốn câu trả lời đó chỉ vào lọc gói, hết hạn trạng thái dịch, sai điểm cuối hoặc cách xử lý kích thước gói. Không câu nào được xác lập chỉ bằng việc thấy DS-Lite trên trang tài khoản.

Hãy đọc kỹ các thay đổi của nhà cung cấp

Một thay đổi tài khoản có thể trùng với một kết nối đang hoạt động trong khi thay đổi vài thuộc tính cùng lúc. Ghi lại thuộc tính nào đã thay đổi, vì tên gói mới không phải là lời giải thích kỹ thuật.

Hướng dẫn bật chồng giao thức kép là mơ hồ cho tới khi ai đó xác nhận nhà cung cấp thực sự cấp cái gì. Coi đó là yêu cầu phổ quát cho máy khách VPN IPv4 biến một phỏng đoán thành chính sách.

Nếu yêu cầu thật là lưu trữ IPv4 vào, hãy trao đổi với nhà cung cấp về một cách bố trí vào được hỗ trợ, đánh địa chỉ gốc hoặc một thiết kế truy nhập khác. Nếu yêu cầu là một máy tính xách tay tới được máy chủ từ xa, hãy hỏi thay vào đó về đúng luồng ra đó. Trình tự công việc: gọi tên hướng, xác nhận chế độ đã cấp, thử IPv4 thuần và một giao thức, rồi chỉ đổi gói truy nhập nếu hướng đó thực sự đòi hỏi.