Proč se vaše adresa IPv6 mění, i když VPN zůstává zapnutá

Dva snímky obrazovky pořízené hodinu po sobě ukazují různé zdrojové adresy IPv6 a nabízející se čtení je, že tunel prosákl nebo se znovu připojil. Obvykle se nestalo ani jedno. Hostitel používá dočasné adresy, což je funkce soukromí operačního systému, která otáčí identifikátor rozhraní podle časovače. Srovnání vypadalo průkazně jen proto, že předpokládalo pole, které nikdy nebylo stabilní.

Co dočasná adresa vlastně otáčí

Dočasná adresa se skládá z prefixu rozhraní a identifikátoru, který hostitel mění, a nese preferovanou a platnou životnost. Než platná životnost vyprší, hostitel vytvoří náhradu, takže dvě spojení mohou legitimně vycházet z různých zdrojů. Adresa lokálního spoje i samotný prefix zůstávají na místě, a tak síť stroj stále rozpoznává.

Nic v tomto otáčení nedělá účet, cookie ani vzorec prohlížení anonymními. Web, který vás chce rozpoznat, má cookies, přihlášení a otisky, a měnící se zdrojová adresa se proti nim téměř neprojeví. Otáčení mění jedno pole v hlavičce paketu a toto pole nikdy nebylo jediným identifikátorem na cestě.

Web vidí jednu adresu, hostitel jich drží několik

Server zaznamená zdroj požadavku, který přijal, nic víc. Hostitel může držet několik adres s různými rozsahy a životnostmi a to, která vyhraje, závisí na pravidlech výběru adres a na cíli. Čtení hodnoty z webu jako adresy stroje je místo, kde tato záměna začíná. Jeden hostitel může pro dva weby vypadat jako dva stroje ve stejný okamžik, prostě proto, že každé spojení zvolilo jinou adresu.

Podívejte se během testu na rozhraní pomocí ip -6 addr show dev eth0: několik adres s jejich životnostmi znamená, že otáčení je přítomno podle návrhu. Pak se jádra zeptejte, kterou trasu by použilo pomocí ip -6 route get 2001:db8:10::5, což vypíše zařízení a preferovaný zdroj pro daný cíl.

Porovnávejte prefix, rozhraní a trasu, ne řetězec

U testování VPN je otázkou, zda paket odešel tunelem, a to je otázka směrování a politiky. Zdrojová adresa je pro to slabý ukazatel: adresa, která se na rozhraní tunelu otáčí, je pořád na tunelu. Tunel, který se znovu připojuje, obvykle posouvá prefix nebo zařízení, a tyto změny jsou vidět bez čtení celé adresy.

Proto porovnávejte zvolenou trasu, rozhraní, kterým paket odešel, a prefix, který nesl. Tyto tři zůstávají mezi běhy dost stabilní a každý z nich znamená něco jiného, když se změní.

Změna je důležitá, když se změní prefix, když se změní rozhraní nebo když trasa k cíli přestane tunel používat. Změna pouze v identifikátoru rozhraní, se stejným prefixem a stejným zařízením, je chování soukromí, které funguje podle záměru. Pokud se posunul jen identifikátor, test měřil časovač soukromí, a ne pokrytí. Než obviníte tunel, zapište, které z těch tří se posunulo.

Nevypínejte IPv6, aby snímky souhlasily

Vypnutí IPv6 srovná opakované testy, a také odebere celou jednu rodinu adres ze sítě, kterou má váš tunel pokrývat. Když je politikou IPv6 přenášet, vypnutí mezeru v pokrytí skrývá, místo aby ji zavřelo.

Pokud je politikou IPv6 blokovat, dokud nebude podporováno, blokujte ho vědomě a rozhodnutí zapište. Další správce musí vidět rozdíl mezi zdokumentovaným blokem a vypnutým zásobníkem.

Co zaznamenat a co jeden test může prokázat

Zaznamenejte prefix, název rozhraní, zvolenou trasu, cíl a časové razítko a vedle nich celou adresu. Specifikace dočasných adres vysvětluje životnosti, které otáčení pohánějí, a proto je celá adresa nejméně stabilní pole v poznámce. Shoda dvou ze tří stabilních polí mezi běhy je silnější důkaz než jakákoli jednotlivá shoda adresy.

Jeden test je jedno pozorování jednoho požadavku. Poznámka je to, co z dalšího pozorování dělá srovnání. Uchovejte obojí a další nesoulad bude stát jeden pohled místo celého odpoledne.