Защо адресът ви IPv6 се сменя, докато VPN остава включен

Две снимки на екрана, направени с час разлика, показват различни изходни адреси IPv6 и очевидното тълкуване е, че тунелът е пропуснал или се е свързал наново. Обикновено не се е случило нито едното. Хостът използва временни адреси – функция за поверителност на операционната система, която сменя идентификатора на интерфейса по таймер. Сравнението изглеждаше категорично само защото предполагаше поле, което никога не е било стабилно.

Какво всъщност сменя временният адрес

Временният адрес се изгражда от префикса на интерфейса плюс идентификатор, който хостът променя, и носи предпочитан и валиден срок на живот. Преди валидният срок да изтече, хостът генерира замяна, така че две връзки законно могат да излизат от различни източници. Адресът на локалната връзка и самият префикс остават на мястото си и точно така мрежата все още разпознава машината.

Нищо в тази смяна не прави акаунт, бисквитка или модел на сърфиране анонимни. Сайт, който иска да ви разпознае, разполага с бисквитки, входове и отпечатъци, а променящият се изходен адрес едва се забелязва на техния фон. Смяната променя едно поле в заглавката на пакета и това поле никога не е било единственият идентификатор по пътя.

Уебсайтът вижда един адрес, хостът държи няколко

Сървърът записва източника на заявката, която е получил, и нищо повече. Хостът може да държи няколко адреса с различни обхвати и срокове и кой ще надделее зависи от правилата за избор на адрес и от дестинацията. Четенето на стойността от уебсайта като адрес на машината е началото на това объркване. Един хост може да изглежда като две машини за два сайта в един и същ момент, просто защото всяка връзка е избрала различен адрес.

Погледнете интерфейса по време на тест с ip -6 addr show dev eth0: няколко адреса със сроковете им означават, че смяната присъства по замисъл. След това попитайте ядрото кой маршрут ще използва с ip -6 route get 2001:db8:10::5, което отпечатва устройството и предпочитания източник за тази дестинация.

Сравнявайте префикс, интерфейс и маршрут, а не низа

При тестване на VPN въпросът е дали пакетът е излязъл през тунела, а това е въпрос на маршрутизация и политика. Изходният адрес е слаб заместител за него: адрес, който се сменя на интерфейса на тунела, все още е на тунела. Тунел, който се свързва наново, обикновено измества префикса или устройството и тези промени се виждат без четене на целия адрес.

Затова сравнявайте избрания маршрут, интерфейса, през който е излязъл пакетът, и префикса, който е носил. Тези три остават достатъчно стабилни между пусканията и всяко от тях означава нещо различно, когато се промени.

Промяната е важна, когато се промени префиксът, когато се промени интерфейсът или когато маршрутът до дестинацията спре да използва тунела. Промяна само в идентификатора на интерфейса, със същия префикс и същото устройство, е поведение за поверителност, работещо както е предвидено. Ако се е преместил само идентификаторът, тестът е измерил таймера за поверителност, а не покритието. Запишете кое от трите се е преместило, преди да обвините тунела.

Не изключвайте IPv6, за да съвпаднат снимките

Изключването на IPv6 прави повторните тестове еднакви и също премахва цяло семейство адреси от мрежата, която тунелът ви трябва да покрива. Когато политиката е да се пренася IPv6, изключването му скрива пропуск в покритието, вместо да го затваря.

Ако политиката е да се блокира IPv6, докато не бъде поддържан, блокирайте го съзнателно и запишете решението. Следващият администратор трябва да види разликата между документирана блокировка и изключен стек.

Какво да се запише и какво може да докаже един тест

Запишете префикса, името на интерфейса, избрания маршрут, дестинацията и времевата марка, а до тях – целия адрес. Спецификацията за временни адреси обяснява сроковете, които задвижват смяната, и затова целият адрес е най-нестабилното поле в бележката. Съвпадението на две от трите стабилни полета между пусканията е по-силно доказателство от всяко отделно съвпадение на адрес.

Един тест е едно наблюдение на една заявка. Бележката е това, което превръща следващото наблюдение в сравнение. Пазете и двете и следващото разминаване ще струва един поглед, а не един следобед.