15、网络协议转换与隧道技术详解

网络协议转换与隧道技术详解

1. 协议转换问题

1.1 totd 服务器的 bug

totd 1.5.1 版本存在一个恼人的 bug，它并非总是从接收请求的 IP 地址发送回复。若 totd 服务器在特定接口配置了多个可路由地址，客户端会忽略回复，因为这些回复并非来自预期的源地址。解决此问题，需确保翻译机的接口上仅有一个可路由的 IPv6 地址。

1.2 负载分担与协议转换的局限性

当性能成为问题时，可将负载分散到多台机器上，可将 totd 守护进程与 faith 翻译器分离。还可配置多个带有不同前缀的 faith 机器，再用 totd 守护进程配置所有前缀，以在多个 faith 翻译器间分配负载。不过，若其中一个 faith 翻译器不可用，会导致指向该翻译器前缀的连接尝试失败，且 faith 翻译器越多，翻译工作的可靠性越低。这表明，至少就当前的实现而言，协议转换只是一种不得已的过渡措施，应尽量避免使用。

1.3 数据包过滤配置

协议翻译器上的数据包过滤配置与应用层网关类似，有一个接受传入连接的 IPv6 接口和一个建立传出连接的 IPv4 接口（该接口可能与 IPv6 接口相同）。协议翻译器与网关的区别在于，协议翻译器是路由器，它会将数据包转发到整个翻译前缀，因此需要适用于路由器的过滤规则，而非主机的过滤规则。在 FreeBSD 6.1 中，对翻译伪接口进行过滤是不必要的，因为通过它的所有流量都可在其经过的物理接口上处理。理论上可在“真正的”路由器上设置协议翻译器，但这会使过滤配置更复杂且易出错，所以建议将协议转换放在有一两个接口的专用机器上。

2. 隧道基础