'n Globale IPv6-adres beteken nie dat die verkeer die tonnel oorslaan nie

'n Toetsblad rapporteer 'n globale IPv6-adres en die gevolgtrekking spring dadelik na verkeer wat die VPN omseil. Daardie gevolgtrekking het twee feite nodig wat die bladsy nooit gewys het nie: watter toepassing die versoek gedoen het, en watter roete die kern daarvoor gekies het. Adresomvang beskryf hoe ver 'n adres gerouteer mag word. Dit sê niks oor waar hierdie spesifieke pakket heen gegaan het nie.

Omvang en rol is verskillende vrae met verskillende bewyse.

Omvang antwoord wie dit kan routeer, nie wie dit doen nie

Globale unicast-adresse is in beginsel op die openbare internet routeerbaar, unieke-lokale adresse is vir interne topologie bedoel, en skakel-lokale adresse bestaan net op een skakel. Dit is eienskappe van die adresblok. Of 'n pakket na 'n gegewe bestemming deur die tonnel verlaat, word deur die roetertabel en deur die beleid wat aan die koppelvlak geheg is, besluit, en albei kan enige kant toe wys.

'n Adres kan globaal van omvang wees en steeds binne 'n tonnel gedra word, want die tonnel is 'n pad eerder as 'n adresplan.

Lees al die adresse op die koppelvlak, nie die webtoets nie

Koppelvlak-uitset wys verskeie adresse gelyktydig: die buitenste adres op die fisiese skakel, die tonneladres, en 'n skakel-lokale adres per koppelvlak. Die webtoets wys net die bronadres van een versoek. Begin met ip -6 addr show en let op watter koppelvlak elke adres besit en watter voorvoegsellengte dit dra, en vra dan watter koppelvlak die versoek werklik gebruik het.

Vergelyk dit met ip -6 route get 2606:4700::1111, wat die koppelvlak en bron druk wat die kern vir 'n bestemming sou kies.

Hoe 'n globale voorvoegsel binne 'n tonnel beland

Twee ontwerpe lewer 'n globale adres op 'n tonnelkoppelvlak. Die verskaffer kan 'n voorvoegsel wat oor die tonnel na die kliënt gerouteer word, delegeer, wat die adres globaal maak terwyl die pad steeds die tonnel is. Of die kliënt hou sy eie globale adres en die tonnel dra dit as binneste verkeer terwyl die buitenste kop die werk doen. Nie een van die twee ontwerpe vereis vertaling nie, en die verwarring begin waar IPv4 NAT-gewoontes as 'n IPv6-vereiste behandel word.

Vra die administrateur watter van die twee van toepassing is. Die antwoord bepaal wat 'n bediener aan die ander kant as jou bron sien.

Waarom 'n adres wat privaat lyk nie 'n vertrouesignaal is nie

'n Unieke-lokale adres sê die operateur bedoel dit vir interne routering, en niks meer nie. Dit bewys nie dat die toestel bestuur word, die sagteware vertrou word, of die verkeer geënkripteer is nie. Omgekeerd bewys 'n globale adres nie dat die verkeer die tonnel ontsnap het nie, en dit is juis die aanname wat hierdie hele artikel wil afbreek.

Beoordeel vertroue op grond van beleid, verifikasie en enkripsie. Adresvoorkoms is 'n swak heuristiek wat in albei rigtings faal.

Toets roete en beleid as twee vrae

Eerste, roete: voer curl -6 https://ifconfig.me deur die tonnel uit en weer oor die fisiese koppelvlak, en vergelyk die antwoorde. Tweede, beleid: bevestig watter voorvoegsel die tonnel werklik dra en of die ander kant 'n terugroete daarvoor het. 'n Suksesvolle versoek na 'n openbare werf bewys nie een van die twee nie, want daardie bestemming is van enige plek bereikbaar. Gebruik 'n interne bestemming vir die beleidstoets.

Teken die bronadres aan wat elke pad opgelewer het. Dit is die bewyse wat 'n bewering oor omseiling werklik nodig het.