Mạng chỉ có IPv6 làm hỏng VPN trước khi đường hầm khởi động

Máy tính xách tay kết nối với Wi-Fi hội nghị chỉ phát IPv6, ứng dụng VPN quay vòng rồi thất bại, trong khi cùng hồ sơ đó đã hoạt động ở khách sạn một giờ trước. Không có gì thay đổi trong thông tin đăng nhập. Điều đã thay đổi là ứng dụng giờ phải đến đích IPv4 qua một mạng chỉ mang IPv6, và không phải ứng dụng nào cũng biết cách làm điều đó.

Đi qua đúng năm bước mà các gói tin đi qua.

Bước 1: quan sát tìm kiếm tên

Nếu hồ sơ dùng tên máy chủ, câu hỏi đầu tiên là trình phân giải trả về gì. dig AAAA vpn.example.com trên mạng chỉ có IPv6 trả về một bản ghi AAAA thật, một bản ghi tổng hợp từ DNS64, hoặc không trả gì cả. Câu trả lời tổng hợp mã hóa đích IPv4 bên trong một tiền tố chuyển đổi, và chỉ khi đó ứng dụng không có đích IPv6 mới đến được. Hồ sơ có địa chỉ IPv4 gán cứng không bao giờ đi đến đây, vì không có tên nào để tổng hợp.

Chính khác biệt duy nhất đó giải thích phần lớn báo cáo «chạy được ở kia, hỏng ở đây», và chỉ cần một lệnh để thấy.

Bước 2: xem ứng dụng đã gọi họ địa chỉ nào

Hãy nhìn socket thay vì thanh tiến trình. Ứng dụng mở socket IPv4 tới địa chỉ IPv4 trên một liên kết chỉ có IPv6 không có nơi nào để gửi nó, và lỗi hiện ra như hết thời gian chứ không phải lỗi tên. ss -tanp trong khi ứng dụng kết nối cho thấy địa chỉ từ xa và họ địa chỉ nó đã thử. So sánh điều đó với ip -6 route để xác nhận tuyến mặc định là một bước nhảy IPv6 thật.

Họ địa chỉ trong bảng socket là sự thật. Thanh tiến trình là bản tóm tắt do người khác viết.

Bước 3: tách chuyển đổi khỏi đường hầm

NAT64 và DNS64 là cách mạng truy cập đến được các đích IPv4, và chúng không làm gì cho đường hầm sau khi đường hầm đã lên. Đường hầm dựng trên một đường đi đã chuyển đổi vẫn thương lượng địa chỉ bên trong của chính nó, và phạm vi IPv4 hoặc IPv6 bên trong là một câu hỏi chính sách riêng. Nếu ứng dụng kết nối rồi không đến được gì, bạn đã qua phần chuyển đổi và đang ở phần định tuyến, đó là một cuộc điều tra khác với bằng chứng khác.

Chuyển đổi thất bại trông như không bao giờ kết nối. Phạm vi bên trong thất bại trông như kết nối mà không đến được gì.

Bước 4: thử cùng hồ sơ trên mạng khác

Mang cùng hồ sơ, phiên bản ứng dụng và thông tin đăng nhập sang một mạng hai ngăn xếp và lặp lại. Nếu ở đó chạy được mà trên đường chỉ có IPv6 lại hỏng, biến số là mạng truy cập chứ không phải hồ sơ. Ghi phiên bản ứng dụng và tình trạng mạng vào phiếu, vì cách sửa cuối cùng là cập nhật ứng dụng hoặc một đích khác.

Báo cáo nói VPN hỏng thì không thể hành động. Báo cáo nói chỉ hỏng ở truy cập chỉ có IPv6 mới là báo cáo lỗi.

Bước 5: sửa đường đi, không phải cài đặt bảo mật

Mọi cách sửa hấp dẫn đều làm mọi thứ tệ hơn. Tắt IPv6 sẽ bỏ đi con đường duy nhất mà mạng cung cấp. Trỏ ứng dụng tới một trình phân giải công cộng phá vỡ tổng hợp DNS64, vì sự tổng hợp đó phải đến từ trình phân giải phía sau bộ chuyển đổi. Tắt xác minh chứng chỉ cho bạn một kết nối tới thứ bạn không thể nhận diện. Không cách nào trong số đó là sửa chữa, và hai trong số đó là thoái bộ bảo mật sẽ sống lâu hơn sự cố.

Các lựa chọn thật sự là một ứng dụng hỗ trợ mô hình chuyển đổi mạng, hoặc một đích có địa chỉ IPv6 đến được. Hãy yêu cầu một trong hai.