Per què la vostra adreça IPv6 canvia mentre la VPN continua activa

Dues captures de pantalla separades per una hora mostren adreces d’origen IPv6 diferents, i la lectura òbvia és que el túnel ha filtrat o s’ha tornat a connectar. Normalment no ha passat ni una cosa ni l’altra. L’amfitrió utilitza adreces temporals, una funció de privadesa del sistema operatiu que fa rotar l’identificador de la interfície amb un temporitzador. La comparació semblava concloent només perquè donava per fet un camp que mai no havia estat estable.

Què fa rotar realment una adreça temporal

Una adreça temporal es construeix amb el prefix de la interfície més un identificador que l’amfitrió canvia, i porta una vida útil preferida i una de vàlida. Abans que la vida útil vàlida s’esgoti, l’amfitrió genera un reemplaçament, així que dues connexions poden sortir legítimament de fonts diferents. L’adreça d’enllaç local i el prefix mateix es queden al seu lloc, i així la xarxa encara reconeix la màquina.

Res d’aquesta rotació no fa anònims un compte, una galeta o un patró de navegació. Un lloc que us vulgui reconèixer té galetes, inicis de sessió i empremtes, i una adreça d’origen canviant gairebé no hi compta. La rotació canvia un sol camp de la capçalera del paquet, i aquell camp mai no havia estat l’únic identificador del camí.

El lloc web veu una adreça, l’amfitrió en té diverses

Un servidor registra l’origen de la petició que ha rebut, res més. L’amfitrió pot tenir diverses adreces amb àmbits i vides útils diferents, i quina guanya depèn de les regles de selecció d’adreces i de la destinació. Llegir el valor del lloc web com a adreça de la màquina és on comença aquesta confusió. Un sol amfitrió pot semblar dues màquines a dos llocs alhora, simplement perquè cada connexió ha triat una adreça diferent.

Mireu la interfície durant una prova amb ip -6 addr show dev eth0: diverses adreces amb les seves vides útils volen dir que la rotació hi és per disseny. Després pregunteu al nucli quina ruta faria servir amb ip -6 route get 2001:db8:10::5, que mostra el dispositiu i l’origen preferit per a aquella destinació.

Compareu prefix, interfície i ruta, no la cadena

En les proves de VPN la pregunta és si el paquet ha sortit pel túnel, i això és una qüestió d’encaminament i de política. L’adreça d’origen n’és un indici feble: una adreça que roti a la interfície del túnel continua sent al túnel. Un túnel que es torna a connectar normalment desplaça el prefix o el dispositiu, i aquests canvis es veuen sense llegir l’adreça completa.

Per tant, compareu la ruta seleccionada, la interfície per la qual ha sortit el paquet i el prefix que portava. Aquests tres es mantenen prou estables entre execucions, i cadascun vol dir una cosa diferent quan canvia.

Un canvi importa quan canvia el prefix, quan canvia la interfície o quan la ruta cap a la destinació deixa d’utilitzar el túnel. Un canvi només en l’identificador de la interfície, amb el mateix prefix i el mateix dispositiu, és privadesa funcionant tal com tocava. Si només s’ha mogut l’identificador, la prova ha mesurat el temporitzador de privadesa i no la cobertura. Anoteu quin dels tres s’ha mogut abans de culpar el túnel.

No desactiveu IPv6 per fer coincidir les captures

Apagar IPv6 fa que les proves repetides coincideixin, i també treu tota una família d’adreces de la xarxa que el vostre túnel ha de cobrir. Quan la política és transportar IPv6, desactivar-lo amaga un buit de cobertura en lloc de tancar-lo.

Si la política és bloquejar IPv6 fins que estigui suportat, bloquegeu-lo deliberadament i anoteu la decisió. El proper administrador ha de veure la diferència entre un bloqueig documentat i una pila desactivada.

Què cal registrar i què pot demostrar una sola prova

Registreu el prefix, el nom de la interfície i la ruta seleccionada, la destinació i la marca de temps, amb l’adreça completa al costat. L’especificació de les adreces temporals explica les vides útils que mouen la rotació, i per això l’adreça completa és el camp menys estable de la nota. Que dos dels tres camps estables coincideixin entre execucions és una evidència més forta que qualsevol coincidència d’una sola adreça.

Una sola prova és una observació d’una sola petició. La nota és el que converteix la propera observació en una comparació. Guardeu les dues, i la propera discrepància costarà una mirada en lloc d’una tarda.