IP-адрес на стороне клиента отображается как ip4: адрес порта на брандмауэре

Question

Я настраиваю доступ к домашнему серверу моей семьи через VPN, ограниченный IP-адресом. Иногда член семьи может иметь адрес ip6 (они Google "ip") от их местоположения. Мой брандмауэр (pfsense) принимает IP-адреса, но VPN отказывается подключаться к их IP-адресу. Когда я просматриваю логи своего брандмауэра, я вижу адрес ip4 на конкретном порту, который пытается подключиться к моему брандмауэру. Если я использую тот IP-адрес, который я нашел в журналах, в качестве источника VPN, VPN начинает работать.

Преобразуются ли адреса ip6 в адрес ip4 с определенного порта? В настоящее время я только добавляю часть адреса ip4. Я позволяю большему диапазону ips соединяться с моим брандмауэром, так как я не указываю порт?

Answer 1

Интернет-провайдер вашей сестры, похоже, выбрал метод перехода по IP-адресу, называемый реализацией IP с двумя стеками.

Благодаря этому решению каждое сетевое устройство, сервер, коммутатор, маршрутизатор и брандмауэр в сети интернет-провайдера настраиваются с возможностью подключения как по IPv4, так и по IPv6 (если оно поддерживает более позднюю версию). Это позволяет интернет-провайдеру обрабатывать трафик данных IPv4 и IPv6 одновременно.

Это диаграмма того, как это выглядит:

Для вашей сестры это означает, что она сможет выходить в Интернет, не задумываясь, перестанет ли работать ее соединение из-за несовместимости IP-адресов.

Для вас это означает, что с вашей сестрой можно связаться через два IP-адреса. Она может проверить эту точку, зайдя на страницу тестирования двойного стека IPv4/IPv6 на whatismyipaddress.com чтобы узнать, есть ли у нее оба адреса.

Если эта ситуация для вас проблематична, ваша сестра может спросить своего интернет-провайдера, есть ли у него опция для статического адреса IPv4. Это может быть бесплатным вариантом или нет.

Она также может отключить IPv6 на своем маршрутизаторе, что приведет к использованию исключительно IPv4-адреса. Однако может возникнуть проблема, если интернет-провайдер рискует исчерпать адреса IPv4 в назначенном им адресном пространстве IPv4.

В любом случае, в нашем мире двойного IP такие случаи будут становиться все более и более распространенными.

Answer 2

Вы видите IPv4-адрес в своих журналах, потому что источник, вероятно, имеет как IPv6, так и IPv4-адрес. Поскольку IPv6 все еще не очень широко распространен, устройствам обычно назначают адрес IPv4 вместе с адресом IPv6 для обеспечения совместимости. Вы можете увидеть это на таких сайтах, как https://ipleak.net. Адреса v6 и v4 обычно вообще не связаны и могут изменяться независимо друг от друга. Мой совет - разрешать трафик IPv4 только через межсетевой экран на сервер VPN, поскольку кажется, что сервер VPN предпочтет адрес v6, а не адрес v4, а это не то, что вам нужно. Кроме того, если вы используете OpenVPN, гораздо проще и безопаснее использовать проверку подлинности сертификата, чем проверку подлинности по IP.

Какие порты вы разрешите, не повлияет на то, какие IP-адреса могут подключаться.