Ці пераносіць ваш VPN IPv6, ці проста дасягае сервера?

Тэст уцечкі толькі для IPv4 вяртаецца чыстым, тэст IPv6 паказвае ваш хатні адрас, а тунель намінальна падключаны. Такая камбінацыя частая ў двухстэкавых сетках, бо VPN змяніў шлях адной сям'і і пакінуў іншую як была. Знешні тунель і трафік унутры яго — гэта асобныя рашэнні аб адрасацыі. Праверка аднаго з іх нічога не кажа пра другі.

Праверце і тое, што паведамляе кліент, і тое, якую сям'ю фактычна выкарыстаў запыт, бо імя хоста можа вярнуць абодва віды адказаў.

Дзве сям'і, два розныя маршруты

Аперацыйная сістэма трымае табліцу маршрутызацыі для кожнай сям'і адрасоў. Усталяванне маршруту па змаўчанні для IPv4 не ўсталёўвае яго для IPv6, а канчатковы пункт тунеля, дасяжны праз IPv4, нічога не кажа пра тое, ці трапляе ў яго трафік IPv6. Калі праз тунель няма маршруту па змаўчанні для IPv6, хост выкарыстоўвае любы шлях IPv6, які ў яго ёсць, а гэта часта фізічнае злучэнне. З пункту гледжання праграмы злучэнне проста прамое.

Імя хоста, якое вяртае запісы і A, і AAAA, робіць гэта цяжэйшым для назірання, бо праграмы могуць спрабаваць сем'і ў розным парадку. Паспяховы запыт не даказвае, які шлях ён прайшоў. Выкарыстоўвайце тэст, які называе сям'ю, якую ён правяраў.

Дасягнуць сервера — не значыць несці трафік

Пастаўшчыкі ўжываюць фразу падтрымка IPv6 для некалькіх розных магчымасцяў. Канчатковы пункт можа прымаць злучэнне праз IPv6, пакуль тунель усё яшчэ нясе толькі IPv4. Тунель можа несці ўнутраныя пакеты IPv6, пакуль знешні транспарт застаецца IPv4. Або кліент можа цалкам блакаваць IPv6, каб нішто не ўцякло па-за тунель. Гэта тры розныя паводзіны, і старонка, якая кажа толькі падтрымліваецца IPv6, іх не адрознівае.

Спытайце, якая з іх патрэбна праекту. Сетка, якая павінна дасягаць сэрвісаў толькі з IPv6, мае патрэбу ў пераносе. Сетка, якая павінна прадухіляць прамы трафік IPv6, мае патрэбу ў блакаванні або поўным пераносе, а не ў надпісе на маркетынгавай старонцы.

Выберыце паміж пераносам і блакаваннем

Перанос азначае, што тунель мае адрас IPv6, маршрут па змаўчанні ўнутры яго і палітыку, якая дазваляе трафік на абодвух канцах. Блакаванне азначае, што кліент наўмысна спыняе выхад IPv6 па-за тунель, што бяспечна і бескарысна для дасягнення прызначэнняў IPv6. Абодва варыянты законныя; ні адзін з іх не з'яўляецца здабыткам па змаўчанні. Спачатку выберыце патрабаванне, затым праверце, што кліент сапраўды яго рэалізуе.

Гасцявая сетка толькі з IPv4 не можа правесці шлях IPv6, таму тэст, зроблены там, нічога не кажа пра хатнюю сетку, дзе існуюць абедзве сем'і. Правярайце там, дзе адпаведная сям'я сапраўды прапануецца.

Пераключальнік бяспекі патрабуе таго ж пакрыцця

Пераключальнік, які пакрывае толькі IPv4, пакідае іншай сям'і свабоду выходзіць напрамую, і гэта менавіта тая ўцечка, якую ён павінен быў прадухіліць. Перагледзьце яго правілы для абедзвюх сем'яў і для момантаў пераходу, калі тунель узнімаецца або апускаецца. Выключэнне IPv6 на ўзроўні сістэмы не замена: яно можа зламаць непаў'язаныя сэрвісы і хавае праблему палітыкі кліента за зменай ва ўсёй машыне.

Трымайце DNS асобна ад усяго гэтага. DNS датычыцца таго, хто адказвае на запыт і як запыт ідзе; злучэнне праграмы, якое ідзе следам, мае свой уласны маршрут. Адно можа быць правільным, а другое не, і дыягностыка іх разам дае заблытаныя высновы.

Запішыце, якую сям'ю правяраў кожны тэст і якую магчымасць заяўляе кліент. Гэтая пара фактаў адказвае на пытанне, на якое этыкетка падтрымкі ніколі не адкажа.