Чаму ваш адрас IPv6 змяняецца, пакуль VPN працуе

Два здымкі экрана з розніцай у гадзіну паказваюць розныя адрасы-крыніцы IPv6, і відавочнае прачытанне — тунель працёк або перападключыўся. Звычайна не адбылося ні тое, ні другое. Хост выкарыстоўвае часовыя адрасы — функцыю прыватнасці аперацыйнай сістэмы, якая круціць ідэнтыфікатар інтэрфейса па таймеры. Параўнанне здалося канчатковым толькі таму, што яно меркавала поле, якое ніколі не было стабільным.

Што насамрэч круціць часовы адрас

Часовы адрас будуецца з прэфікса інтэрфейса плюс ідэнтыфікатара, які змяняе хост, і нясе два тэрміны — пераважны і сапраўдны. Пакуль сапраўдны тэрмін не скончыцца, хост стварае замену, таму два злучэнні могуць законна выходзіць з розных крыніц. Адрас канальнага ўзроўню і сам прэфікс застаюцца на месцы, і менавіта так сетка ўсё яшчэ пазнае машыну.

Нішто ў гэтым кручэнні не робіць уліковы запіс, кукі або схему аглядання ананімнымі. Сайт, які хоча вас пазнаць, мае кукі, уваходы і адбіткі, і зменлівы адрас-крыніца ледзь прыкметны на іх фоне. Кручэнне змяняе адно поле ў загалоўку пакета, і гэтае поле ніколі не было адзіным ідэнтыфікатарам на шляху.

Сайт бачыць адзін адрас, хост трымае некалькі

Сервер запісвае крыніцу атрыманага запыту, не больш. Хост можа трымаць некалькі адрасоў з рознымі абсягамі і тэрмінамі, і які з іх пераможа, залежыць ад правілаў выбару адраса і ад прызначэння. Менавіта чытанне значэння сайта як адраса машыны і пачынае гэтую блытаніну. Адзін хост можа выглядаць як дзве машыны для двух сайтаў у адзін і той жа момант, проста таму што кожнае злучэнне выбрала іншы адрас.

Паглядзіце на інтэрфейс падчас тэсту з ip -6 addr show dev eth0: некалькі адрасоў з іх тэрмінамі азначаюць, што кручэнне прысутнічае па задуме. Затым спытайце ў ядра, які маршрут яно выкарыстае, з ip -6 route get 2001:db8:10::5, — гэта друкуе прыладу і пераважную крыніцу для гэтага прызначэння.

Параўноўвайце прэфікс, інтэрфейс і маршрут, а не радок

У тэставанні VPN пытанне ў тым, ці пакет выйшаў праз тунель, а гэта пытанне маршрутызацыі і палітыкі. Адрас-крыніца — слабы паказчык для гэтага: адрас, які круціцца на інтэрфейсе тунеля, усё яшчэ на тунелі. Тунель, які перападключаецца, звычайна зрушвае прэфікс або прыладу, і гэтыя змены бачныя без чытання поўнага адраса.

Таму параўноўвайце выбраны маршрут, інтэрфейс, праз які выйшаў пакет, і прэфікс, які ён нёс. Гэтыя тры застаюцца дастаткова стабільнымі паміж запускамі, і кожны з іх азначае нешта іншае, калі змяняецца.

Змена мае значэнне, калі змяняецца прэфікс, калі змяняецца інтэрфейс або калі маршрут да прызначэння перастае выкарыстоўваць тунель. Змена толькі ў ідэнтыфікатары інтэрфейса, з тым жа прэфіксам і той жа прыладай, — гэта паводзіны прыватнасці, якія працуюць як задумана. Калі зрушыўся толькі ідэнтыфікатар, тэст вымераў таймер прыватнасці, а не пакрыццё. Запішыце, якое з трох зрушылася, перш чым вінаваціць тунель.

Не адключайце IPv6, каб здымкі экрана супалі

Адключэнне IPv6 робіць паўторныя тэсты аднолькавымі, а таксама выдаляе цэлае сямейства адрасоў з сеткі, якую ваш тунель павінен пакрываць. Калі палітыка — несці IPv6, адключэнне хавае прабел у пакрыцці замест таго, каб яго закрыць.

Калі палітыка — блакаваць IPv6, пакуль ён не падтрымліваецца, блакуйце свядома і запішыце рашэнне. Наступнаму адміністратару трэба бачыць розніцу паміж дакументаванай блакіроўкай і адключаным стэкам.

Што запісваць і што можа даказаць адзін тэст

Запішыце прэфікс, назву інтэрфейса, выбраны маршрут, прызначэнне і адзнаку часу, а поўны адрас побач. Спецыфікацыя часовых адрасоў тлумачыць тэрміны, што кіруюць кручэннем, і таму поўны адрас — найменш стабільнае поле ў нататцы. Супадзенне двух з трох стабільных палёў паміж запускамі — мацнейшы доказ, чым любое адзіночнае супадзенне адраса.

Адзін тэст — гэта адно назіранне аднаго запыту. Нататка — гэта тое, што ператварае наступнае назіранне ў параўнанне. Трымайце абодва, і наступная разбежнасць каштавацьме позірку, а не паўдня.