El vostre VPN transporta IPv6 o només arriba al servidor?

Una prova de fuites només per a IPv4 torna neta, una prova d'IPv6 mostra la vostra adreça de casa i el túnel està connectat nominalment. Aquesta combinació és habitual en xarxes de doble pila, perquè la VPN va canviar el camí d'una família i va deixar l'altra tranquil·la. El túnel exterior i el trànsit que hi ha a dins són decisions d'adreçament separades. Provar-ne una no diu res de l'altra.

Comproveu tant què informa el client com quina família ha fet servir realment la petició, perquè un nom d'amfitrió pot retornar els dos tipus de resposta.

Dues famílies, dos camins diferents

El sistema operatiu manté una taula d'encaminament per a cada família d'adreces. Instal·lar una ruta per defecte per a IPv4 no n'instal·la cap per a IPv6, i un extrem de túnel abastable per IPv4 no diu res sobre si el trànsit IPv6 hi entra. Quan no hi ha cap ruta per defecte IPv6 pel túnel, l'amfitrió fa servir el camí IPv6 que tingui, que sovint és l'enllaç físic. Des del punt de vista de l'aplicació, la connexió és simplement directa.

Un nom d'amfitrió que retorna tant registres A com AAAA ho fa més difícil de veure, perquè les aplicacions poden provar les famílies en ordres diferents. Una petició que té èxit no demostra quin camí ha seguit. Feu servir una prova que anomeni la família que ha exercitat.

Arribar al servidor no és transportar el trànsit

Els proveïdors fan servir l'expressió suport d'IPv6 per a diverses capacitats diferents. L'extrem pot acceptar una connexió per IPv6 mentre el túnel encara només transporta IPv4. El túnel pot transportar paquets interns IPv6 mentre el transport exterior continua sent IPv4. O el client pot bloquejar IPv6 del tot perquè res no surti fora del túnel. Són tres comportaments diferents, i una pàgina que només diu que s'admet IPv6 no els distingeix.

Pregunteu quin necessita el disseny. Una xarxa que ha d'arribar a serveis només IPv6 necessita transport. Una xarxa que ha d'impedir el trànsit IPv6 directe necessita bloqueig o transport complet, no una etiqueta en una pàgina de màrqueting.

Trieu entre transportar i bloquejar

Transportar vol dir que el túnel té una adreça IPv6, una ruta per defecte a dins i una política que permet el trànsit als dos extrems. Bloquejar vol dir que el client atura deliberadament que IPv6 surti fora del túnel, cosa que és segura i inútil per arribar a destinacions IPv6. Tots dos són legítims; cap no és un valor per defecte que pugueu suposar. Trieu primer el requisit i després verifiqueu que el client l'implementa de debò.

Una xarxa de convidats només IPv4 no pot exercir un camí IPv6, així que una prova feta allà no diu res de la xarxa de casa on existeixen les dues famílies. Proveu on la família rellevant s'ofereix de debò.

L'interruptor de seguretat necessita la mateixa cobertura

Un interruptor de seguretat que només cobreix IPv4 deixa l'altra família lliure de sortir directament, que és exactament la fuita que havia d'impedir. Reviseu-ne les regles per a les dues famílies i per als moments de transició, mentre el túnel puja o baixa. Apagar IPv6 a tot el sistema no és un substitut: pot trencar serveis no relacionats i amaga un problema de política del client darrere d'un canvi a tota la màquina.

Manteniu el DNS separat de tot això. El DNS tracta de qui respon la consulta i de com viatja la consulta; la connexió d'aplicació que ve després té la seva pròpia ruta. Una pot ser correcta mentre l'altra no ho és, i diagnosticar-les juntes produeix conclusions confuses.

Anoteu quina família ha exercitat cada prova i quina capacitat afirma el client. Aquest parell de fets respon la pregunta que una etiqueta de suport mai no respondrà.