IPv6 provoz obcházející VPN: najděte unikající trasu

Dvě testovací stránky si odporují: jedna hlásí adresu poskytovatele přes tunel, druhá hlásí váš domácí prefix, a zjevný závěr je, že VPN uniká. Ten závěr přeskakuje krok, protože oba záznamy uplatnily dvě různá rozhodnutí o směrování a jen jedno z nich mělo vstoupit do tunelu. Mezera je obvykle skutečná a jde o problém pokrytí, ne o rozbitý tunel. Tři otázky to vyřeší: který tok skutečně odešel, kterou trasu pro něj jádro zvolilo a jaké chování klient zamýšlel.

Pracujte v tomto pořadí. Odpovídání mimo pořadí vede k dlouhé hádce o tom, zda je klient vadný, když skutečná odpověď je, že se nikdy nenainstalovala trasa IPv6.

Který tok skutečně odešel a přes který adaptér

Začněte testem, který pojmenuje rodinu, kterou použil, pak zapište aplikaci, přístupovou síť, platný profil a to, zda připojení vůbec nabízí IPv6. Tyto čtyři skutečnosti činí dvě běhy srovnatelné a čtvrtá je ta, na kterou lidé zapomínají: síť bez prefixu v6 nemůže unikat v6 a síť, která jej později přidá, mění odpověď.

Posílejte jeden požadavek na rodinu, místo abyste načetli stránku a četli její výsledek. Jedna stránka může míchat prostředky v6 a v4, proces na pozadí se může chovat jinak než karta před vámi a uložená odpověď může přežít změnu sítě, kterou se snažíte otestovat. Zafixujte cíl, který testujete, a poznamenejte jej, aby opakovaný běh měřil totéž.

Čtení trasy, kterou zvolilo jádro

Tabulka tras odpovídá na otázku, kterou prohlížeč nedokáže. Zeptejte se systému, kam by šel konkrétní cíl, a zahrňte pravidla zásad i viditelnou výchozí hodnotu, protože obojí je může přebít:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Konkrétnější prefix je obvyklý důvod, proč jeden cíl stojí mimo tunel, zatímco vše ostatní zůstává uvnitř, a pravidlo zásad může totéž udělat s vyšší prioritou než kterákoli trasa. Čtěte i metriku, protože dva záznamy pro stejný prefix se rozhodují podle metriky, ne podle pořadí na obrazovce. Ve Windows je ekvivalentní seznam Get-NetRoute -AddressFamily IPv6, seřazený podle metriky, aby odpovídal pořadí rozhodování. Pravidlo, které v tabulce vypadá správně, přesto může prohrát s pravidlem zásad s nižším číslem, a proto výpis pravidel patří do stejného dechu jako výpis tras.

Odkud pochází politika IPv6 klienta

Klient může být postaven tak, aby přenášel v6 tunelem, aby jej odmítal, nebo aby povolil pojmenovanou výjimku, a tyto tři záměry dávají tři různé správné výsledky. Přečtěte si profil a vlastní dokumentaci klienta, než pozorování nazvete únikem, protože klient, který blokuje v6, zatímco operační systém stále posílá objevování sousedů po fyzickém spoji, se chová podle návrhu.

Aplikace záměrně vyloučená z tunelu je jiný případ než rodina, kterou tunel nikdy nepřenášel. První je rozhodnutí o jednom programu, druhé je mezera v pokrytí a oprava se podle toho liší. Přečtěte si seznam vyloučených programů klienta, než začnete hledat trasu, která nikdy neměla existovat.

Úzké pozorování, když tabulka nesouhlasí

Když je vyhledání trasy nejednoznačné, jedno pozorování rozhraní na hostiteli to může vyřešit, ale jen pokud míří na otázku. Provoz k samotnému koncovému bodu VPN fyzický adaptér podle návrhu přejde; důležité je, zda se tam objeví i tok aplikace adresovaný zcela jinam. Omezte zachytávání na testovaný cíl, místo abyste sbírali všechno.

Široké zachytávání odhaluje mnohem víc osobního provozu, než jedna otázka vyžaduje. Také odpovídá méně jasně, protože tok, na kterém vám záleží, přichází pohřbený v proudu nesouvisejících spojení. Omezte se na testovaný cíl, po hrstce paketů přestaňte a záznam smažte.

Tři způsoby, jak mezeru uzavřít

Přeneste rodinu tunelem, zablokujte ji u klienta, když ji tunel nemůže přenést, nebo zapište záměrnou výjimku s vlastníkem a datem revize. Každý je obhajitelný a jediné, co obhajitelné není, je nechat volbu implicitní, protože implicitní volba je právě to, čím únik ve skutečnosti je. Pokud tunel nemá vůbec východ v6, odmítnutí v6 u klienta je zároveň poctivé i ověřitelné. Důležité je, aby volba byla napsaná tam, kde ji najde příští člověk, ne odvozená z chování o šest měsíců později.

Zkontrolujte to znovu po opětovném připojení a po přechodu mezi sítěmi, protože trasa nainstalovaná pro předchozí spoj může změnu přežít. Pak zapište cíl, zvolenou trasu, politiku klienta a rodinu, kterou test použil, aby příští člověk četl rozhodnutí, místo aby je znovu odvozoval. RFC 7359 dokumentuje únik při dvojím zásobníku jako problém návrhu, nikoli chybu, a je to odkaz, který citujete, když někdo tvrdí, že funkční tunel v4 pokrývá všechno.