En global IPv6-adresse betyder ikke, at trafikken springer tunnelen over

En testsida rapporterer en global IPv6-adresse, og konklusionen springer direkte til trafik, der omgår VPN. Den konklusion kræver to fakta, som siden aldrig viste: hvilken applikation der sendte anmodningen, og hvilken rute kernen valgte til den. Adresseomfang beskriver, hvor langt en adresse må routes. Det siger intet om, hvor netop denne pakke gik hen.

Omfang og rolle er forskellige spørgsmål med forskellige beviser.

Omfanget svarer på, hvem der kan route den, ikke hvem der gør det

Globale unicast-adresser kan i princippet routes på det offentlige internet, unikke lokale adresser er beregnet til intern topologi, og link-lokale adresser findes kun på ét link. Det er egenskaber ved adresseblokken. Om en pakke til en given destination forlader gennem tunnelen, afgøres af routingtabellen og af den politik, der er knyttet til grænsefladen, og begge kan pege i hver sin retning.

En adresse kan have globalt omfang og stadig blive båret inde i en tunnel, fordi tunnelen er en vej og ikke en adresseplan.

Læs alle adresserne på grænsefladen, ikke webtesten

Grænsefladens output viser flere adresser på én gang: den ydre adresse på det fysiske link, tunneladressen og en link-lokal adresse per grænseflade. Webtesten viser kun kildeadressen for én anmodning. Start med ip -6 addr show og notér, hvilken grænseflade der ejer hver adresse, og hvilken præfikslængde den bærer, og spørg så, hvilken grænseflade anmodningen faktisk brugte.

Sammenlign det med ip -6 route get 2606:4700::1111, som udskriver den grænseflade og kilde, som kernen ville vælge til en destination.

Hvordan et globalt præfiks ender inde i en tunnel

To design giver en global adresse på en tunnelgrænseflade. Udbyderen kan delegere et præfiks, der routes til klienten gennem tunnelen, hvilket gør adressen global, mens vejen stadig er tunnelen. Eller klienten beholder sin oprindelige globale adresse, og tunnelen bærer den som indre trafik, mens den ydre header gør arbejdet. Ingen af designene kræver oversættelse, og forvirringen starter, hvor vaner fra IPv4 NAT behandles som et krav til IPv6.

Spørg administratoren, hvilket af de to der gælder. Svaret afgør, hvad en server på den anden side ser som din kilde.

Hvorfor en adresse, der ser privat ud, ikke er et tillidssignal

En unik lokal adresse siger, at operatøren har tænkt den til intern routing, og ikke mere. Den beviser ikke, at enheden administreres, at softwaren er troværdig, eller at trafikken er krypteret. Omvendt beviser en global adresse ikke, at trafikken slap ud af tunnelen, og det er netop den antagelse, hele denne artikel findes for at nedbryde.

Vurder tillid ud fra politik, godkendelse og kryptering. Adressens udseende er en svag heuristik, der fejler i begge retninger.

Test rute og politik som to spørgsmål

Først ruten: kør curl -6 https://ifconfig.me gennem tunnelen og igen over den fysiske grænseflade, og sammenlign svarene. Dernæst politikken: bekræft, hvilket præfiks tunnelen faktisk bærer, og om den anden side har en returrute til det. En vellykket anmodning til et offentligt website beviser ingen af delene, for den destination er tilgængelig fra hvor som helst. Brug en intern destination til politiktests.

Notér den kildeadresse, som hver vej gav. Det er det bevis, en påstand om omgåelse faktisk har brug for.