Una adreça IPv6 global no vol dir que el trànsit s'altri del túnel

Una pàgina de prova informa d'una adreça IPv6 global i la conclusió salta directament a un trànsit que s'altri de la VPN. Aquesta conclusió necessita dos fets que la pàgina mai no va mostrar: quina aplicació va fer la petició i quina ruta va triar el nucli per a ella. L'abast de l'adreça descriu fins on es pot encaminar una adreça. No diu res sobre on ha anat aquest paquet concret.

Abast i rol són preguntes diferents amb proves diferents.

L'abast respon qui la pot encaminar, no qui ho fa

Les adreces unicast globals són encaminables a la internet pública en principi, les adreces úniques locals estan pensades per a la topologia interna i les adreces locals d'enllaç només existeixen en un enllaç. Aquestes són propietats del bloc d'adreces. Si un paquet cap a una destinació concreta surt pel túnel ho decideixen la taula d'encaminament i la política lligada a la interfície, i totes dues poden apuntar en qualsevol direcció.

Una adreça pot tenir abast global i tot i així viatjar dins d'un túnel, perquè el túnel és un camí i no un pla d'adreces.

Llegeix totes les adreces de la interfície, no la prova web

La sortida de la interfície mostra diverses adreces alhora: l'adreça exterior a l'enllaç físic, l'adreça del túnel i una adreça local d'enllaç per interfície. La prova web només mostra l'adreça d'origen d'una petició. Comença amb ip -6 addr show i anota quina interfície posseeix cada adreça i quina longitud de prefix porta, i després pregunta quina interfície va fer servir realment la petició.

Compara-ho amb ip -6 route get 2606:4700::1111, que imprimeix la interfície i l'origen que el nucli triaria per a una destinació.

Com acaba un prefix global dins d'un túnel

Dos dissenys produeixen una adreça global en una interfície de túnel. El proveïdor pot delegar un prefix encaminat al client a través del túnel, cosa que fa global l'adreça mentre el camí continua sent el túnel. O el client conserva la seva adreça global nativa i el túnel la transporta com a trànsit interior mentre la capçalera exterior fa la feina. Cap dels dos dissenys no requereix traducció, i l'embolic comença on els costums d'IPv4 NAT es prenen com un requisit d'IPv6.

Pregunta a l'administrador quin dels dos s'aplica. La resposta determina què veu un servidor de l'altra banda com a origen teu.

Per què una adreça que sembla privada no és un senyal de confiança

Una adreça única local diu que l'operador la vol per a encaminament intern, i res més. No demostra que el dispositiu estigui gestionat, que el programari sigui fiable o que el trànsit estigui xifrat. Al revés, una adreça global no demostra que el trànsit hagi escapat del túnel, i aquesta és precisament la suposició que tot aquest article existeix per desmuntar.

Jutja la confiança per la política, l'autenticació i el xifratge. L'aparença de l'adreça és una heurística feble que falla en totes dues direccions.

Prova ruta i política com dues preguntes

Primer, la ruta: executa curl -6 https://ifconfig.me pel túnel i de nou per la interfície física, i compara les respostes. Segon, la política: confirma quin prefix porta realment el túnel i si l'altra banda té una ruta de tornada per a ell. Una petició correcta a un lloc públic no demostra cap de les dues coses, perquè aquesta destinació és abastable des de qualsevol lloc. Fes servir una destinació interna per a la prova de política.

Anota l'adreça d'origen que ha produït cada camí. Aquesta és la prova que una afirmació sobre un salt de túnel necessita de veritat.