Globální adresa IPv6 neznamená, že provoz obchází tunel

Testovací stránka hlásí globální adresu IPv6 a závěr hned skočí k provozu, který obchází VPN. Takový závěr potřebuje dvě skutečnosti, které stránka nikdy neukázala: která aplikace požadavek odeslala a kterou trasu pro něj jádro zvolilo. Rozsah adresy popisuje, kam až lze adresu směrovat. O tom, kam šel právě tento paket, neříká nic.

Rozsah a role jsou různé otázky s různými důkazy.

Rozsah odpovídá, kdo ji může směrovat, ne kdo to dělá

Globální adresy unicast jsou z principu směrovatelné ve veřejném internetu, jedinečné lokální adresy jsou určeny pro vnitřní topologii a lokální adresy spoje existují jen na jednom spoji. To jsou vlastnosti bloku adres. Zda paket k danému cíli odchází tunelem, rozhoduje směrovací tabulka a politika připojená k rozhraní, a obojí může ukazovat kterýmkoli směrem.

Adresa může mít globální rozsah a přesto být nesena uvnitř tunelu, protože tunel je cesta, nikoli plán adres.

Čtěte všechny adresy na rozhraní, ne webový test

Výstup rozhraní ukazuje několik adres najednou: vnější adresu na fyzickém spoji, adresu tunelu a lokální adresu spoje pro každé rozhraní. Webový test ukazuje jen zdrojovou adresu jednoho požadavku. Začněte s ip -6 addr show a poznamenejte, kterému rozhraní patří každá adresa a jakou délku prefixu nese, a pak se zeptejte, které rozhraní požadavek skutečně použil.

Porovnejte to s ip -6 route get 2606:4700::1111, který vypíše rozhraní a zdroj, které by jádro pro cíl zvolilo.

Jak se globální prefix ocitne uvnitř tunelu

Dva návrhy dávají globální adresu na rozhraní tunelu. Poskytovatel může delegovat prefix směrovaný klientovi přes tunel, což dělá adresu globální, zatímco cesta zůstává tunelem. Nebo si klient ponechá svou nativní globální adresu a tunel ji nese jako vnitřní provoz, zatímco vnější hlavička dělá práci. Ani jeden návrh nevyžaduje překlad a zmatení začíná tam, kde se návyky IPv4 NAT berou jako požadavek IPv6.

Zeptejte se správce, který z obou případů platí. Odpověď určuje, co server na druhé straně vidí jako váš zdroj.

Proč adresa, která vypadá soukromě, není signálem důvěry

Jedinečná lokální adresa říká, že ji operátor zamýšlí pro vnitřní směrování, a nic víc. Nedokazuje, že zařízení je spravované, software důvěryhodný nebo provoz šifrovaný. Naopak, globální adresa nedokazuje, že provoz unikl z tunelu, a právě tento předpoklad celý článek bourá.

Souděte důvěru podle politiky, ověřování a šifrování. Vzhled adresy je slabá heuristika, která selhává v obou směrech.

Testujte trasu a politiku jako dvě otázky

Za prvé trasa: spusťte curl -6 https://ifconfig.me přes tunel a znovu přes fyzické rozhraní a porovnejte odpovědi. Za druhé politika: ověřte, který prefix tunel skutečně nese a zda má druhá strana pro něj zpětnou trasu. Úspěšný požadavek na veřejný web nedokazuje ani jedno, protože ten cíl je dostupný odkuďkoli. Pro test politiky použijte vnitřní cíl.

Zaznamenejte zdrojovou adresu, kterou každá cesta vytvořila. To je důkaz, který tvrzení o obcházení skutečně potřebuje.