Jak otestovat IPv6 přes VPN s vlastním prostředkem

Veřejná stránka pro kontrolu IP odpovídá na jednu otázku, a obvykle ne na tu, kterou jste položili. Řekne vám výstupní adresu, kterou stránka viděla; neřekne vám, zda funguje trasa IPv6 tunelem, zda hostitel upřednostnil IPv6 nebo se vrátil zpět, ani zda vyloučená aplikace šla jinou cestou. Autorizovaný prostředek, který ovládáte, odpovídá na užší otázku správně, protože vidíte oba konce. Návod níže je o získání závěru, který můžete obhájit, ne o zeleném výsledku.

Krok 1: řekněte, kterou trasu IPv6 testujete

Řekněte to jednou větou. Požadavek na vlastní adresu IPv6 serveru tunelu testuje tunel; požadavek na hostitele za výstupem testuje výstupní IPv6 na výstupu; požadavek na privátní adresu IPv6 testuje vnitřní trasu.

To jsou tři různá tvrzení a jeden úspěšný požadavek nemůže podpořit všechna. Vyberte to, které je důležité pro rozhodnutí před vámi, a zapište ho, než cokoli spustíte. Pokud je obava, zda IPv6 neprosakuje kolem tunelu, otázka je o volbě trasy hostitelem, ne o dosažitelnosti výstupu. Pokud je obava, zda vzdálená strana dosáhne vnitřní služby, je výstup irelevantní.

Krok 2: potvrďte, že hostitel volí tuto trasu

ip -6 route get 2001:db8:1::10 vypíše trasu, zdrojovou adresu a rozhraní, které by jádro použilo, a na tomto faktu závisí zbytek testu.

Existence rozhraní není totéž jako jeho výběr. Hostitelé s duálním zásobníkem mají tabulku priorit a /etc/gai.conf v Linuxu může změnit, která rodina vyhraje pro jméno, které se překládá na obě.

Krok 3: použijte legitimní cíl a jméno

Pokud testujete HTTPS, použijte jméno hostitele, pro které byl certifikát vydán, a nechte ověřování zapnuté; přechod na doslovnou adresu, aby test prošel, vypíná právě tu kontrolu, která dokazuje, že jste dosáhli zamýšleného hostitele. Diagnostická služba, kterou ovládáte a která odpovídá na známém jménu s platným certifikátem, je nejčistší cíl. Dává vám také řádek v protokolu na straně serveru pro korelaci, což kontrolor třetí strany nikdy nedá.

Spusťte požadavek ve formě, která ukazuje použitou adresu: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. -6 vynucuje rodinu, a tak oddělujete IPv6 nefunguje od IPv6 nebylo preferováno.

Pro čistou kontrolu dosažitelnosti, kde je povolen ICMPv6, stačí ping -6 -c 3 2001:db8:1::10. Dokazuje trasu a nic nad ní.

Krok 4: zkorelejte oba konce

Když máte přístup k oběma koncům, spusťte tcpdump -ni any ip6 and host 2001:db8:1::10 na klientovi a ekvivalent na prostředku, s časovými značkami, a potvrďte, že se stejný tok objeví na obou. To mění pravděpodobný výsledek v důkaz: pohled klienta sám nedokáže rozlišit odpověď od prostředku od odpovědi od něčeho mezi tím. Držte zachycení úzké na jediný cíl, aby výstup zůstal čitelný a nikoho nesouvisející relace neskončila v souboru.

Zopakujte test po opětovném připojení, pokud je obava, zda zásada přežije restart. Stav trasy a firewallu aplikovaný jednou při připojení se může lišit od stavu, který se aplikuje znovu, a rozdíl se ukáže až při druhém připojení.

Otestujte případ selhání zvlášť, pokud ho potřebujete. Tunel, který blokuje IPv6 při pádu, a ten, který ho propouští, jsou různé konstrukce a jen jednu z nich lze ověřit úspěšným požadavkem.

Krok 5: napište, co test neprokázal

Pátý krok je napsat, co test neprokázal, a právě tato část se vynechává. Úspěšný test privátního koncového bodu neprokazuje veřejný výstup IPv6, neprokazuje chování DNS a nepokrývá aplikace, které jste z tunelu vyloučili. Každé z toho potřebuje vlastní cíl a vlastní pozorování. Poznámka, že IPv6 funguje po jednom požadavku na jednoho hostitele, není zjištění; je to odhad s časovou značkou.

Záznam, který stojí za uchování, je krátký: cíl, jméno, zdrojová adresa, kterou hostitel zvolil, pozorovaná vzdálená adresa a čas. RFC 7359 pojednává o tom, jak testovat, že příslušná trasa IPv6 je skutečně použitelná, a to je standard, ke kterému se tento návod přibližuje jednoduššími nástroji. Pokud závěr potřebuje veřejný kontrolor, aby byl pravdivý, test nebyl dost konkrétní.