Přenáší váš VPN IPv6, nebo jen dosáhne na server?

Test úniku pouze pro IPv4 vychází čistý, test IPv6 ukáže vaši domácí adresu a tunel je nominálně připojený. Tato kombinace je běžná v sítích s duálním zásobníkem, protože VPN změnila cestu jedné rodiny a druhou nechala být. Vnější tunel a provoz uvnitř něj jsou dvě oddělená rozhodnutí o adresování. Testování jednoho z nich nic neříká o druhém.

Zkontrolujte jak to, co hlásí klient, tak to, kterou rodinu požadavek skutečně použil, protože název hostitele může vrátit oba druhy odpovědi.

Dvě rodiny, dvě různé cesty

Operační systém vede směrovací tabulku pro každou rodinu adres. Instalace výchozí trasy pro IPv4 nenainstaluje žádnou pro IPv6 a koncový bod tunelu dostupný přes IPv4 nic neříká o tom, zda do něj vstupuje provoz IPv6. Když tunelem neexistuje výchozí trasa IPv6, hostitel použije jakoukoli cestu IPv6, kterou má, což je často fyzické spojení. Z pohledu aplikace je spojení prostě přímé.

Název hostitele, který vrací záznamy A i AAAA, to ztěžuje vidět, protože aplikace mohou rodiny zkoušet v různém pořadí. Úspěšný požadavek nedokazuje, kterou cestou šel. Použijte test, který pojmenuje rodinu, kterou vyzkoušel.

Dosáhnout na server není totéž jako přenášet provoz

Poskytovatelé používají frázi podpora IPv6 pro několik různých schopností. Koncový bod může přijmout spojení přes IPv6, zatímco tunel stále přenáší jen IPv4. Tunel může přenášet vnitřní pakety IPv6, zatímco vnější transport zůstává IPv4. Nebo může klient IPv6 úplně zablokovat, aby nic neuniklo mimo tunel. To jsou tři odlišná chování a stránka, která říká jen IPv6 je podporováno, je nerozlišuje.

Zeptejte se, kterou z nich návrh potřebuje. Síť, která musí dosáhnout služeb pouze s IPv6, potřebuje přenos. Síť, která musí zabránit přímému provozu IPv6, potřebuje blokování nebo plný přenos, ne štítek na marketingové stránce.

Zvolte mezi přenosem a blokováním

Přenos znamená, že tunel má adresu IPv6, výchozí trasu uvnitř a politiku, která provoz povoluje na obou koncích. Blokování znamená, že klient záměrně zastaví IPv6 v odchodu mimo tunel, což je bezpečné a pro dosažení cílů IPv6 zbytečné. Obě jsou legitimní; ani jedno není výchozí stav, který lze předpokládat. Nejprve zvolte požadavek, potom ověřte, že jej klient skutečně implementuje.

Hostovská síť pouze s IPv4 nemůže vyzkoušet cestu IPv6, takže test provedený tam nic neříká o domácí síti, kde existují obě rodiny. Testujte tam, kde se příslušná rodina skutečně nabízí.

Přepínač zabezpečení potřebuje stejné pokrytí

Přepínač, který pokrývá jen IPv4, nechává druhé rodině volnost odejít přímo, což je přesně ten únik, kterému měl zabránit. Projděte jeho pravidla pro obě rodiny a pro okamžiky přechodu, když se tunel zvedá nebo padá. Vypnutí IPv6 v celém systému není náhrada: může rozbít nesouvisející služby a skrývá problém politiky klienta za změnou v celém stroji.

Držte DNS stranou od toho všeho. DNS se týká toho, kdo odpovídá na dotaz a jak dotaz putuje; aplikační spojení, které následuje, má svou vlastní trasu. Jedno může být správně, zatímco druhé ne, a jejich společné diagnostikování dává zmatené závěry.

Zapište, kterou rodinu každý test vyzkoušel a jakou schopnost klient tvrdí. Tato dvojice faktů odpovídá na otázku, na kterou štítek podpory nikdy neodpoví.