主页 / server / 问题 / 767311
Accepted
Squid_Vicious
Asked: 2016-04-01 03:59:46 +0800 CST

通过域名而不是公共 IP 地址连接 SSH 端口 22

  • 772

我有一个 Draytek 路由器配置为仅从特定 IP 地址将 SSH 连接端口转发到内部服务器。除了无法连接到我们路由器的公共静态IP地址而只能连接到其域名的客户外，我和客户都可以成功连接到外部。router.domain.com 路由器是否应该分配一个域名？不太确定为什么他们只能连接到域名而不是 ip - 建议赞赏

domain-name-system

1 个回答

  1. Best Answer

    基于问题中的有限信息，无法确定为什么使用主机名的连接有效，但使用 IP 地址连接到同一台服务器却无效。

    但是我想最可能的解释是客户端依赖 DNS64+NAT64 来连接服务器。由于 IPv4 地址用完，各种 CGN 解决方案的部署变得更加普遍。其中之一是 DNS64+NAT64，它们的限制是客户端无法通过 IP 地址连接到 IPv4 服务器。

    当这样的客户端连接到仅 IPv4 的服务器时会发生什么：

    • 客户端发送 AAAA 查询server.example.com
    • DNS64 服务器发送 AAAA 查询server.example.com
    • 权威服务器发送 NOANSWER。
    • DNS64 服务器发送查询server.example.com
    • 权威服务器响应192.0.2.1
    • DNS64 转换192.0.2.1为64:ff9b::192.0.2.1
    • 客户端连接到地址上的 NAT6464:ff9b::192.0.2.1
    • NAT64 转换64:ff9b::192.0.2.1为192.0.2.1

    如果客户端是 OpenSSH，您可以ssh -v在客户端使用来查看它正在连接的 IP 地址。如果服务器仅为 IPv4，并且客户端在给定主机名时连接到 IPv6 地址，则您将知道客户端依赖于 DNS64+NAT64。

    如果由于 NAT64 无法连接到 IP 地址，可能的缓解措施：

    • 在服务器上启用 IPv6 并在当前 A 记录旁边创建一个 AAAA 记录。客户端现在可以直接连接到服务器的 IPv6 地址。即使客户端继续使用主机名连接，这也是首选方法，因为它将消除对 NAT64 的依赖。
    • 保持原样。您说使用服务器主机名的连接有效。因此 DNS64+NAT64 正在按预期工作，无需立即更改任何内容。在大多数情况下，使用主机名的连接被认为比直接连接到 IP 地址更好，因此没有真正的理由停止使用主机名。
    • 让客户端使用主机名连接一次以了解 DNS64 映射到的 IPv6 地址，然后使用此 IPv6 地址通过 NAT64 继续连接。（有效，但似乎有点傻）
    • 让客户端使用 NAT464。这是一种解决方案，适用于客户端软件仅支持 IPv4 但客户端连接到仅 IPv6 接入网络的情况。但是，如果通过主机名的连接已经有效，那么您不需要 NAT464 并且您最好使用其他解决方案之一。
    • 2

相关问题