Глабальны адрас IPv6 не азначае, што трафік абыходзіць тунель

Тэставая старонка паказвае глабальны адрас IPv6, і выснова адразу пераскоквае да трафіку, які абыходзіць VPN. Гэтая выснова патрабуе двух фактаў, якіх старонка ніколі не паказвала: якая праграма зрабіла запыт і які маршрут выбрала для яго ядро. Абсяг адраса апісвае, наколькі далёка адрас можа быць маршрутызаваны. Ён нічога не кажа пра тое, куды пайшоў менавіта гэты пакет.

Абсяг і роля — гэта розныя пытанні з рознымі доказамі.

Абсяг адказвае, хто можа яго маршрутызаваць, а не хто гэта робіць

Глабальныя адрасы unicast у прынцыпе маршрутызуюцца ў публічным інтэрнэце, унікальныя лакальныя адрасы прызначаны для ўнутранай тапалогіі, а лакальныя адрасы звяна існуюць толькі на адным звяне. Гэта ўласцівасці блока адрасоў. Ці пакет да пэўнага пункта прызначэння выходзіць праз тунель, вырашаюць табліца маршрутызацыі і палітыка, прывязаная да інтэрфейса, і абедзве могуць паказваць у любы бок.

Адрас можа мець глабальны абсяг і ўсё роўна перавозіцца ўнутры тунеля, бо тунель — гэта шлях, а не план адрасоў.

Чытайце ўсе адрасы на інтэрфейсе, а не вэб-тэст

Вывад інтэрфейса паказвае некалькі адрасоў адначасова: вонкавы адрас на фізічным звяне, адрас тунеля і лакальны адрас звяна для кожнага інтэрфейса. Вэб-тэст паказвае толькі адрас крыніцы аднаго запыту. Пачніце з ip -6 addr show і адзначце, якому інтэрфейсу належыць кожны адрас і якую даўжыню прэфікса ён нясе, затым спытайце, які інтэрфейс запыт фактычна выкарыстаў.

Параўнайце гэта з ip -6 route get 2606:4700::1111, якая друкуе інтэрфейс і крыніцу, якія ядро абрала б для пункта прызначэння.

Як глабальны прэфікс апынаецца ўнутры тунеля

Дзве схемы даюць глабальны адрас на інтэрфейсе тунеля. Правайдэр можа дэлегаваць прэфікс, які маршрутызуецца кліенту праз тунель, што робіць адрас глабальным, пакуль шлях застаецца тунелем. Або кліент захоўвае ўласны глабальны адрас, і тунель нясе яго як унутраны трафік, пакуль знешні загаловак выконвае працу. Ні адна схема не патрабуе трансляцыі, і блытаніна пачынаецца там, дзе звычкі IPv4 NAT прымаюць за патрабаванне IPv6.

Спытайце ў адміністратара, якая з дзвюх схем прымяняецца. Адказ вызначае, што сервер на іншым баку бачыць як вашу крыніцу.

Чаму адрас, які выглядае прыватным, не з'яўляецца сігналам даверу

Унікальны лакальны адрас кажа, што аператар мае на ўвазе ўнутраную маршрутызацыю, і не больш. Ён не даказвае, што прылада кіруецца, праграмнае забеспячэнне пераверанае або трафік зашыфраваны. І наадварот, глабальны адрас не даказвае, што трафік выйшаў з тунеля, і менавіта гэтае дапушчэнне існуе ўвесь гэты артыкул, каб разбурыць.

Ацэньвайце давер па палітыцы, аўтэнтыфікацыі і шыфраванні. Знешні выгляд адраса — слабая эўрыстыка, якая дае збой у абодвух напрамках.

Правярайце маршрут і палітыку як два пытанні

Па-першае, маршрут: запусціце curl -6 https://ifconfig.me праз тунель, а затым праз фізічны інтэрфейс, і параўнайце адказы. Па-другое, палітыка: пацвердзіце, які прэфікс тунель фактычна нясе і ці ёсць у іншага боку зваротны маршрут для яго. Паспяховы запыт да публічнага сайта не даказвае ні аднаго, бо гэты пункт прызначэння дасягальны адкуль заўгодна. Для тэсту палітыкі выкарыстоўвайце ўнутраны пункт прызначэння.

Запішыце адрас крыніцы, які стварыў кожны шлях. Гэта тыя доказы, якія насамрэч патрэбныя сцвярджэнню пра абыход.