DNS64

DNS64 (RFC 6147) — DNS-резолвер который синтезирует AAAA-записи из A-записей для доменов без нативного IPv6. Работает в паре с NAT64.

Логика

1. Клиент шлёт AAAA-запрос.
2. DNS64 форвардит на upstream.
3. Если пришёл AAAA — отдаёт как есть.
4. Если только A — берёт IPv4, вкладывает в NAT64-префикс 64:ff9b::/96 → отдаёт синтетический AAAA.

Пример

$ dig AAAA legacy-only.com @dns64-server
;; ANSWER SECTION:
legacy-only.com. 300 IN AAAA 64:ff9b::c000:201

# на самом деле в оригинале:
$ dig A legacy-only.com
legacy-only.com. 300 IN A 192.0.2.1

Публичные DNS64-резолверы

• Google Public DNS64: 2001:4860:4860::64, 2001:4860:4860::6464
• Cloudflare: 2606:4700:4700::64, 2606:4700:4700::6400
• NAT64.net: 2a00:1098:2b::1

DNSSEC ломается

DNS64 подделывает AAAA — валидатор увидит несовпадение подписи. Решения:

• Клиент делает свой DNSSEC + получает A → сам синтезирует AAAA (CLAT-style)
• Или отключить DNSSEC для этих доменов

Отключение

Если клиент хочет native IPv4 (через 464XLAT) — можно попросить DNS64 не синтезировать через тип AAAA NODATA хинт или отдельный ipv4only.arpa (RFC 8880).

См. также

• NAT64, IPv6, DNS