IPv6 saobraćaj koji zaobilazi VPN: pronađite rupu na ruti

Dvije testne stranice se ne slažu: jedna prijavljuje adresu provajdera kroz tunel, druga prijavljuje vaš kućni prefiks, a očigledan zaključak je da VPN curi. Taj zaključak preskače korak, jer su dva izvještaja pokrenula dvije različite odluke o rutiranju i samo je jedna od njih trebala ući u tunel. Praznina je obično stvarna i to je problem pokrivenosti, a ne pokvaren tunel. Tri pitanja to rješavaju: koji je tok zaista izašao, koju je rutu kernel odabrao za njega i koje je ponašanje klijent namjeravao.

Radite tim redom. Odgovaranje van redoslijeda stvara dugu raspravu o tome je li klijent neispravan, dok je stvarni odgovor da nikada nije instalirana IPv6 ruta.

Koji je tok zaista izašao i na kojem adapteru

Počnite testom koji imenuje familiju koju je koristio, zatim zapišite aplikaciju, pristupnu mrežu, profil na snazi i nudi li veza uopće IPv6. Te četiri činjenice čine dva pokretanja uporedivim, a četvrta je ona koju ljudi zaboravljaju: mreža bez v6 prefiksa ne može curiti v6, a mreža koja ga kasnije doda mijenja odgovor.

Pošaljite jedan zahtjev po familiji umjesto da učitate stranicu i čitate njen rezultat. Jedna stranica može miješati v6 i v4 resurse, pozadinski proces se može ponašati drugačije od kartice pred vama, a keširan odgovor može nadživjeti promjenu mreže koju pokušavate testirati. Fiksirajte odredište koje testirate i zabilježite ga, da ponovno pokretanje mjeri istu stvar.

Čitanje rute koju je kernel odabrao

Tabela ruta odgovara na pitanje na koje preglednik ne može. Pitajte sistem kuda bi išlo određeno odredište i uključite pravila politike kao i vidljivi default, jer bilo šta od toga može ga nadjačati:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Specifičniji prefiks je uobičajen razlog zašto jedno odredište stoji izvan tunela dok sve ostalo ostaje unutra, a pravilo politike može učiniti isto s višim prioritetom od bilo koje rute. Čitajte i metriku, jer se dva unosa za isti prefiks rješavaju po metrici, a ne po njihovom redoslijedu na ekranu. Na Windowsu je ekvivalentna lista Get-NetRoute -AddressFamily IPv6, sortirana po metrici da odgovara redu odlučivanja. Pravilo koje izgleda ispravno u tabeli ipak može izgubiti od pravila politike s manjim brojem, zato lista pravila pripada u istom dahu kao i lista ruta.

Odakle dolazi IPv6 politika klijenta

Klijent može biti napravljen da nosi v6 kroz tunel, da ga odbije ili da dopusti imenovani izuzetak, a te tri namjere daju tri različita ispravna rezultata. Pročitajte profil i klijentovu vlastitu dokumentaciju prije nego što neko opažanje nazovete curenjem, jer klijent koji blokira v6 dok operativni sistem još šalje otkrivanje susjeda na fizičkoj vezi ponaša se kako je projektovan.

Aplikacija namjerno isključena iz tunela drugi je slučaj od familije koju tunel nikada nije nosio. Prvo je odluka o jednom programu, drugo je praznina u pokrivenosti, i popravka se razlikuje u skladu s tim. Pročitajte klijentovu listu isključenih programa prije nego što tražite rutu koja nikada nije trebala postojati.

Usko posmatranje, kada se tabela ne slaže

Kada je pretraga rute dvosmislena, jedno posmatranje interfejsa na hostu može to riješiti, ali samo ako je usmjereno na pitanje. Saobraćaj ka samoj VPN krajnjoj točki preći će fizički adapter po dizajnu; važno je da li se tok aplikacije, adresiran sasvim drugdje, također pojavljuje tamo. Ograničite snimanje na odredište koje testirate umjesto da skupljate sve.

Široko snimanje otkriva mnogo više ličnog saobraćaja nego što jedno pitanje zahtijeva. Ono i odgovara manje jasno, jer tok koji vas zanima dolazi zakopan u struji nepovezanih veza. Ograničite na testirano odredište, zaustavite se nakon šačice paketa i obrišite snimak.

Tri načina da zatvorite prazninu

Nesite familiju kroz tunel, blokirajte je na klijentu kada je tunel ne može nositi, ili zapišite namjerni izuzetak s vlasnikom i datumom pregleda. Svaki je odbranjiv, a jedino što nije odbranjivo je ostaviti izbor implicitnim, jer implicitni izbor i jeste ono što curenje zapravo jeste. Ako tunel uopće nema v6 izlaz, odbijanje v6 na klijentu je i pošteno i provjerljivo. Važno je da izbor bude zapisan tamo gdje će ga sljedeća osoba naći, a ne izveden iz ponašanja šest mjeseci kasnije.

Ponovite provjeru nakon ponovnog povezivanja i nakon prelaska između mreža, jer ruta instalirana za prethodnu vezu može preživjeti promjenu. Zatim zapišite odredište, odabranu rutu, politiku klijenta i familiju koju je test koristio, da sljedeća osoba čita odluku umjesto da je ponovo izvodi. RFC 7359 dokumentuje curenje kod dvojnog steka kao dizajnerski problem, a ne kao bug, i to je referenca na koju se pozivate kada neko tvrdi da radni v4 tunel pokriva sve.