Глобален адрес IPv6 не означава, че трафикът заобикаля тунела

Тестова страница показва глобален адрес IPv6 и заключението веднага прескача към трафик, който заобикаля VPN. Това заключение се нуждае от два факта, които страницата така и не показа: кое приложение е направило заявката и кой маршрут е избрало ядрото за нея. Обхватът на адреса описва докъде може да бъде маршрутизиран адресът. Той не казва нищо за това къде е отишъл точно този пакет.

Обхват и роля са различни въпроси с различни доказателства.

Обхватът отговаря кой може да го маршрутизира, а не кой го прави

Глобалните адреси unicast по принцип са маршрутизируеми в публичния интернет, уникалните локални адреси са за вътрешна топология, а локалните адреси на връзката съществуват само в една връзка. Това са свойства на адресния блок. Дали пакет до дадена дестинация излиза през тунела, се решава от таблицата за маршрутизация и от политиката, прикачена към интерфейса, и двете могат да сочат в която и да е посока.

Един адрес може да е с глобален обхват и все пак да се пренася в тунел, защото тунелът е път, а не адресен план.

Четете всички адреси на интерфейса, а не уеб теста

Изходът на интерфейса показва няколко адреса наведнъж: външния адрес на физическата връзка, адреса на тунела и локален адрес на връзката за всеки интерфейс. Уеб тестът показва само адреса на източника на една заявка. Започнете с ip -6 addr show и отбележете кой интерфейс притежава всеки адрес и каква дължина на префикса носи, след което попитайте кой интерфейс заявката действително е използвала.

Сравнете това с ip -6 route get 2606:4700::1111, който отпечатва интерфейса и източника, които ядрото би избрало за дадена дестинация.

Как глобален префикс се озовава в тунел

Два дизайна дават глобален адрес на интерфейс на тунел. Доставчикът може да делегира префикс, маршрутизиран към клиента през тунела, което прави адреса глобален, докато пътят все още е тунелът. Или клиентът запазва собствения си глобален адрес и тунелът го носи като вътрешен трафик, докато външният хедър върши работата. Нито един от двата дизайна не изисква транслация и объркването започва там, където навиците на IPv4 NAT се приемат за изискване на IPv6.

Попитайте администратора кой от двата се прилага. Отговорът определя какво сървър от другата страна вижда като ваш източник.

Защо адрес, който изглежда частен, не е сигнал за доверие

Уникалният локален адрес казва, че операторът го предвижда за вътрешно маршрутизиране, и нищо повече. Той не доказва, че устройството се управлява, че софтуерът е надежден или че трафикът е шифрован. Обратно, глобалният адрес не доказва, че трафикът е избягал от тунела, а точно това предположение статията съществува, за да разбие.

Съдете за доверието по политика, автентикация и шифроване. Изгледът на адреса е слаба евристика, която се проваля и в двете посоки.

Тествайте маршрут и политика като два въпроса

Първо, маршрут: изпълнете curl -6 https://ifconfig.me през тунела и отново през физическия интерфейс, и сравнете отговорите. Второ, политика: потвърдете кой префикс тунелът действително носи и дали другата страна има обратен маршрут за него. Успешна заявка към публичен сайт не доказва нито едно от двете, защото тази дестинация е достъпна отвсякъде. Използвайте вътрешна дестинация за теста на политиката.

Запишете адреса на източника, който всеки път е създал. Това са доказателствата, които едно твърдение за заобикаляне наистина изисква.