Globalna IPv6 adresa ne znači da saobraćaj zaobilazi tunel

Testna stranica prikazuje globalnu IPv6 adresu i zaključak odmah skače na saobraćaj koji zaobilazi VPN. Taj zaključak traži dvije činjenice koje stranica nikada nije pokazala: koja aplikacija je poslala zahtjev i koju je rutu kernel odabrao za njega. Opseg adrese opisuje dokle se adresa smije rutirati. On ne govori ništa o tome kuda je otišao baš ovaj paket.

Opseg i uloga su različita pitanja s različitim dokazima.

Opseg odgovara ko je može rutirati, a ne ko je rutira

Globalne unicast adrese su u principu rutabilne na javnom internetu, jedinstvene lokalne adrese namijenjene su internoj topologiji, a lokalne adrese veze postoje samo na jednoj vezi. To su svojstva bloka adresa. Da li paket do određenog odredišta izlazi kroz tunel, odlučuju tabela rutiranja i politika vezana za interfejs, a oboje može pokazivati u bilo koju stranu.

Adresa može biti globalnog opsega i ipak se prenositi unutar tunela, jer je tunel put, a ne plan adresa.

Čitajte sve adrese na interfejsu, a ne web test

Izlaz interfejsa pokazuje nekoliko adresa odjednom: vanjsku adresu na fizičkoj vezi, adresu tunela i lokalnu adresu veze za svaki interfejs. Web test pokazuje samo izvornu adresu jednog zahtjeva. Počnite s ip -6 addr show i zabilježite koji interfejs posjeduje svaku adresu i koju dužinu prefiksa nosi, pa pitajte koji je interfejs zahtjev stvarno koristio.

Uporedite to s ip -6 route get 2606:4700::1111, koji ispisuje interfejs i izvor koje bi kernel odabrao za odredište.

Kako globalni prefiks završi unutar tunela

Dva dizajna daju globalnu adresu na interfejsu tunela. Provajder može delegirati prefiks koji se rutira klijentu kroz tunel, što adresu čini globalnom dok je put i dalje tunel. Ili klijent zadržava svoju izvornu globalnu adresu i tunel je nosi kao unutrašnji saobraćaj dok vanjsko zaglavlje obavlja posao. Nijedan dizajn ne zahtijeva prevođenje, a zabuna počinje tamo gdje se navike IPv4 NAT-a uzimaju kao zahtjev IPv6.

Pitajte administratora koji od dva dizajna vrijedi. Odgovor određuje šta server na drugoj strani vidi kao vaš izvor.

Zašto adresa koja izgleda privatno nije signal povjerenja

Jedinstvena lokalna adresa kaže da ju je operator namijenio internom rutiranju, i ništa više. Ona ne dokazuje da je uređaj pod upravljanjem, da je softver pouzdan ili da je saobraćaj šifriran. Obrnuto, globalna adresa ne dokazuje da je saobraćaj pobjegao iz tunela, a upravo ta pretpostavka je razlog postojanja ovog članka.

Procijenite povjerenje po politici, autentikaciji i šifriranju. Izgled adrese je slaba heuristika koja pada u oba smjera.

Testirajte rutu i politiku kao dva pitanja

Prvo, ruta: pokrenite curl -6 https://ifconfig.me kroz tunel i ponovo preko fizičkog interfejsa, pa uporedite odgovore. Drugo, politika: potvrdite koji prefiks tunel stvarno nosi i da li druga strana ima povratnu rutu za njega. Uspješan zahtjev prema javnom sajtu ne dokazuje nijedno, jer je to odredište dostupno sa svake strane. Koristite interno odredište za test politike.

Zabilježite izvornu adresu koju je svaki put proizveo. To je dokaz koji tvrdnja o zaobilaženju zaista treba.