Analluogi IPv6 i drwsio gollyngiad VPN? Penderfynwch ar y polisi yn lle hynny

Mae cyfeiriad o'r amrediad IPv6 yn ymddangos ar dudalen brawf, mae'n amlwg nad yw'r twnnel yn ei gludo, a'r cyngor mwyaf poblogaidd ar y rhyngrwyd yw analluogi IPv6 ym mhobman. Mae'r gorchymyn hwnnw yn gwneud y panel yn dawel. Mae hefyd yn tynnu protocol y gallai'r rhwydwaith mynediad ddibynnu arno, ac mae'n eich gadael heb unrhyw syniad a oedd y cyfeiriad yn ollyngiad go iawn, yn gyfeiriad rhyngwyneb link-local, neu'n ddatryswr yn gwneud ei waith. Mae tri amod yn penderfynu ar y rheolaeth gywir, a dim ond un ohonynt sy'n arwain at flocio.

Nodwch beth a fesurodd yr offeryn mewn gwirionedd

Yr alar ffug mwyaf cyffredin yw cyfeiriad link-local, sy'n dechrau gyda fe80: ac sy'n bodoli ar bob rhyngwyneb sy'n gallu IPv6 p'un a all y peiriant gyrraedd y rhyngrwyd dros IPv6 ai peidio. Mae'n ymddangos mewn rhestrau rhyngwyneb ac mewn rhai diagnosteg cymwysiadau, ac nid yw'n dweud dim am lwybr eich traffig.

Yr ail alar ffug yw cyfeiriad lleol unigryw yn fc00::/7, sef amrediad preifat a ddefnyddir o fewn rhwydwaith. Bydd offeryn sy'n argraffu pob cyfeiriad sydd gan y gwesteiwr yn ei restru'n fodlon wrth ymyl yr un cyhoeddus. Mae unrhyw un sy'n darllen ar frys yn galw hynny'n ollyngiad, ac yna'n treulio awr ar broblem nad yw'n bodoli.

Nid yw'r trydydd yn alar ffug o gwbl. Cyfeiriad byd-eang sy'n cyrraedd y rhyngrwyd y tu allan i'r twnnel yw'r ollyngiad go iawn, ac mae'n werth ei fesur cyn penderfynu unrhyw beth:

ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co

Os yw'r gorchymyn cyntaf yn argraffu cyfeiriad byd-eang ac mae'r trydydd yn dychwelyd cyfeiriad IPv6 cyhoeddus nad yw'n un y twnnel, mae gennych lwybr go iawn y tu allan i'r twnnel. Os nad yw'r cyntaf yn argraffu dim ond cofnodion link-local, ni fu ollyngiad i'w drwsio erioed.

Mae tri amod yn penderfynu ar y rheolaeth

Nid "IPv6 da" neu "IPv6 drwg" yw'r penderfyniad. Y penderfyniad yw pa un o dri sefyllfa yr ydych ynddi, ac mae gan bob un ateb cywir gwahanol gyda chost wahanol os ydych yn camgymryd.

Y rhes gyntaf yw'r hyn y mae pobl fel arfer yn ei olygu, ac mae'n ddilys. Ni ddylai cleient nad oes gan ei allanfa gefnogaeth IPv6 adael traffig IPv6 brodorol y gwesteiwr allan yn dawel, oherwydd dyna'r ollyngiad deu-stac a ddogfennwyd. Y pwynt yw ei flocio fel polisi datganedig, nid analluogi protocol yn y cnewyllyn. Mae'r canlyniad gweladwy yn unfath a dim ond un ohonynt y gellir ei adolygu'n ddiweddarach.

Y drydedd rhes yw lle mae'r cyngor cyffredinol yn mynd yn niweidiol. Mae cwmnïau symudol a rhai cysylltiadau cartref yn rhedeg rhwydweithiau IPv6-only gyda chyfieithu ar gyfer cyrchfannau IPv4. Tynnwch IPv6 yno a byddwch yn tynnu'r unig gludiant y mae'r rhwydwaith yn ei gynnig, sy'n creu toriad llawer gwaeth na'r un yr oeddech yn ei ddadfygio.

Os nad oes gan yr allanfa IPv6, blociwch ef yn fwriadol

Mae'n well defnyddio mecanwaith y cleient ei hun, oherwydd mae'n berthnasol yn union tra bo'r twnnel i fyny ac yn dychwelyd pan fydd yn cwympo. OpenVPN sydd ag opsiwn ar gyfer hyn, ac mae gan iptables reol gyfatebol ar gyfer cleientiaid eraill:

block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachable

Mae'r gyfarwyddeb yn perthyn i'r proffil; mae'r reol yn perthyn i wal dân y gallwch ei hadolygu a'i thynnu. Mae'r ddau yn methu ar gau, sef yr hyn yr ydych ei eisiau, ac mae'r ddau yn weladwy mewn gwahaniaeth ffurfweddiad, rhywbeth nad yw sysctl cnewyllyn wedi'i gladdu mewn sgript gychwyn.

Cofnodwch pam mae yno. Mae rheol flocio heb sylw yn cael ei thynnu gan y person nesaf sydd angen IPv6 ar gyfer rhywbeth digyswllt, ac yna mae'r ollyngiad yn dychwelyd yn dawel.

Os yw'r allanfa yn cludo IPv6, llwybrwch ef a phrofwch y ddwy deulu

Cludo IPv6 yw'r ateb gwell pan fydd'r gweinydd yn ei gefnogi, ac nid yw'n llawer anoddach. Y gofyniad yw bod gan ryngwyneb y twnnel gyfeiriad yn y teulu hwnnw a bod y llwybr diofyn ar ei gyfer yn mynd i mewn i'r twnnel yn hytrach nag allan o'r rhyngwyneb ffisegol:

ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.co

Y chwiliad llwybr yw'r prawf penderfynol: os yw'n enwi rhyngwyneb y twnnel, mae traffig IPv6 yn cael ei gludo. Yna mae'r ddau alwad curl yn cadarnhau beth mae pob teulu yn ei weld, a'u cymharu yw'r ffordd i brofi bod y ddau lwybr bellach yn gadael drwy'r un allanfa.

Peidiwch ag aros ar gysylltiad llwyddiannus. Ailgysylltwch y twnnel a gwirio eto, oherwydd gall llwybr IPv6 a wthiwyd gael ei golli wrth ailosod os yw'r gweinydd yn ei anfon dim ond yn y ffurfweddiad cychwynnol. Yna gwirio un gyrchfan sydd wedi'i heithrio, oherwydd rheolau twnnel hollt yw'r lle mae'r ddwy deulu yn anghytuno amlaf.

Os yw'r rhwydwaith mynediad yn IPv6 yn unig, gadewch lonydd iddo

Mae rhai rhwydweithiau yn darparu IPv6 yn unig ac yn disgwyl i'r ddyfais gyrraedd gwasanaethau IPv4 drwy fecanwaith cyfieithu ar ochr y cludwr. Nid yw analluogi IPv6 ar beiriant o'r fath yn welliant diogelwch; mae'n tynnu'r unig lwybr i unrhyw beth. Toriad hunan-achosedig yw hwnnw er mwyn canlyniad prawf nad oedd ei angen ar neb.

Mae symptom gwneud hyn yn anghywir yn nodedig ac yn annymunol: mae'r twnnel yn ymddangos i sefydlu, mae datrysiad enwau yn gweithio, ac nid oes dim yn llwytho. Os gwelwch hynny ar ôl newid IPv6, adferwch y gosodiad ar unwaith a pharhewch â'r diagnosis yn rhywle arall.

Beth bynnag a ddewiswch, cadwch y penderfyniad yn eglur yn y proffil neu'r wal dân, cysylltwch ef â'r hyn y mae'r allanfa yn ei gefnogi mewn gwirionedd, a nodwch yr ymddygiad deu-stac y mae trafodaeth deu-stac RFC 7359 yn ei ddisgrifio. Mae bloc datganedig yn bolisi. Mae protocol wedi'i analluogi yn gylchdro nad oes neb yn gallu ei archwilio, ac maent yn edrych yn unfath o'r dudalen brawf.