Hoe om IPv6 deur 'n VPN met jou eie hulpbron te toets

'n Openbare IP-toetsbladsy beantwoord een vraag, en gewoonlik nie die een wat jy gevra het nie. Dit wys die uitgangsadres wat die bladsy gesien het; dit sê nie of die IPv6-roete deur die tonnel werk nie, of die gasheer IPv6 verkies het of teruggeval het nie, of 'n uitgeslote toepassing 'n ander pad geneem het nie. 'n Gemagtigde hulpbron wat jy beheer, beantwoord die nouer vraag behoorlik, want jy kan beide kante sien. Die prosedure hieronder gaan oor 'n gevolgtrekking wat jy kan verdedig, nie oor 'n groen uitslag nie.

Stap 1: sê watter IPv6-pad jy toets

Sê dit in een sin. 'n Versoek aan die tonnelbediener se eie IPv6-adres toets die tonnel; 'n versoek aan 'n gasheer anderkant die uitgang toets die uitgang se IPv6-uitgang; 'n versoek aan 'n private IPv6-adres toets 'n interne roete.

Dit is drie verskillende bewerings en een enkele suksesvolle versoek kan nie al drie ondersteun nie. Kies die een wat saak maak vir die besluit voor jou en skryf dit neer voordat jy enigiets hardloop. As die bekommernis is of IPv6 om die tonnel lek, gaan die vraag oor die gasheer se roetekeuse, nie oor die bereikbaarheid van die uitgang nie. As die bekommernis is of die verre kant 'n interne diens kan bereik, is die uitgang irrelevant.

Stap 2: bevestig dat die gasheer daardie roete kies

ip -6 route get 2001:db8:1::10 druk die roete, die bronadres en die koppelvlak uit wat die kern sou gebruik, en dit is die feit waarvan die res van die toets afhang.

'n Koppelvlak wat bestaan is nie dieselfde as dat dit gekies word nie. Dubbelstapel-gashere het 'n voorrangstabel, en /etc/gai.conf op Linux kan verander watter familie wen vir 'n naam wat na beide oplos.

Stap 3: gebruik 'n bestemming en 'n naam wat wettig is

As jy HTTPS toets, gebruik die gasheernaam waarvoor die sertifikaat uitgereik is en hou verifikasie aan; om na 'n letterlike adres oor te skakel om die toets te laat slaag, skakel juis die kontrole af wat bewys jy het die beoogde gasheer bereik. 'n Diagnostiese diens wat jy beheer, wat op 'n bekende naam met 'n geldige sertifikaat antwoord, is die skoonste teiken. Dit gee jou ook 'n bedienerkant-logreel om teen te korreleer, wat 'n derdeparty-toetser nooit sal doen nie.

Voer die versoek uit in 'n vorm wat die adres wys wat dit gebruik het: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Die -6 dwing die familie af, en só skei jy IPv6 werk nie van IPv6 is nie verkies nie.

Vir 'n suiwer bereikbaarheidstoets waar ICMPv6 toegelaat word, is ping -6 -c 3 2001:db8:1::10 genoeg. Dit bewys die pad en niks bokant dit nie.

Stap 4: korreleer beide kante

Wanneer jy toegang tot beide kante het, hardloop tcpdump -ni any ip6 and host 2001:db8:1::10 op die kliënt en die ekwivalent op die hulpbron, met tydstempels, en bevestig dat dieselfde vloei op beide verskyn. Dit is wat 'n geloofwaardige resultaat in bewyse verander: die kliënt se siening alleen kan nie 'n antwoord van die hulpbron onderskei van 'n antwoord van iets tussenin nie. Hou die opname eng tot die een bestemming sodat die uitset leesbaar bly en niemand se onverwante sessie in die lêer beland nie.

Herhaal die toets ná 'n herverbinding as die bekommernis is of beleid 'n herbegin oorleef. Roete- en vuurmuurtoestand wat een keer by verbinding toegepas is, kan verskil van toestand wat weer toegepas word, en die verskil wys net op die tweede verbinding.

Toets die mislukkingsgeval apart as jy dit nodig het. 'n Tonnel wat IPv6 blokkeer wanneer dit val en een wat dit lek, is verskillende ontwerpe, en net een van hulle kan deur 'n suksesvolle versoek geverifieer word.

Stap 5: skryf neer wat die toets nie bewys het nie

Stap vyf is om neer te skryf wat die toets nie bewys het nie, en dit is die deel wat weggelaat word. 'n Suksesvolle private eindpunt-toets bewys nie openbare IPv6-uitgang nie, bewys nie DNS-gedrag nie, en dek nie toepassings wat jy van die tonnel uitgesluit het nie. Elkeen daarvan het sy eie bestemming en sy eie waarneming nodig. 'n Nota wat sê IPv6 werk ná een versoek aan een gasheer is nie 'n bevinding nie; dit is 'n raaiskoot met 'n tydstempel.

Die rekord wat die moeite werd is om te hou, is kort: die bestemming, die naam, die bronadres wat die gasheer gekies het, die waargenome afstandadres en die tyd. RFC 7359 bespreek hoe om te toets dat 'n relevante IPv6-pad werklik bruikbaar is, en dit is die standaard wat hierdie prosedure met eenvoudiger gereedskap benader. As die gevolgtrekking 'n openbare toetser nodig het om waar te wees, was die toets nie spesifiek genoeg nie.