Bærer din VPN IPv6, eller når den bare serveren?

En lækagetest kun for IPv4 kommer tilbage ren, en IPv6-test viser din hjemmeadresse, og tunnelen er nominelt forbundet. Den kombination er almindelig på dual-stack-netværk, fordi VPN'en ændrede den ene families rute og lod den anden være. Den ydre tunnel og trafikken inde i den er to separate adresseringsbeslutninger. At teste den ene siger intet om den anden.

Kontroller både hvad klienten rapporterer, og hvilken familie anmodningen faktisk brugte, fordi et værtsnavn kan returnere begge slags svar.

To familier, to forskellige ruter

Styresystemet holder en rutetabel for hver adressefamilie. At installere en standardrute for IPv4 installerer ikke en for IPv6, og et tunnelendepunkt, der kan nås over IPv4, siger intet om, hvorvidt IPv6-trafik kommer ind i det. Når der ikke findes en IPv6-standardrute gennem tunnelen, bruger værten den IPv6-rute, den har, hvilket ofte er det fysiske link. Fra applikationens synspunkt er forbindelsen ganske enkelt direkte.

Et værtsnavn, der returnerer både A- og AAAA-poster, gør det sværere at se, fordi applikationer kan forsøge familierne i forskellig rækkefølge. En anmodning, der lykkes, beviser ikke, hvilken rute den tog. Brug en test, der navngiver den familie, den har prøvet.

At nå serveren er ikke at bære trafikken

Udbydere bruger udtrykket IPv6-understøttelse om flere forskellige egenskaber. Endepunktet kan acceptere en forbindelse over IPv6, mens tunnelen stadig kun bærer IPv4. Tunnelen kan bære IPv6-indre pakker, mens den ydre transport forbliver IPv4. Eller klienten kan blokere IPv6 helt, så intet slipper ud uden for tunnelen. Det er tre forskellige adfærdsmønstre, og en side, der kun siger IPv6 understøttes, skelner ikke mellem dem.

Spørg, hvilken af dem designet har brug for. Et netværk, der skal nå tjenester, som kun findes på IPv6, har brug for at bære. Et netværk, der skal forhindre direkte IPv6-trafik, har brug for blokering eller fuld bæring, ikke et mærkat på en marketingside.

Vælg mellem at bære og at blokere

At bære betyder, at tunnelen har en IPv6-adresse, en standardrute inde i den og en politik, der tillader trafikken i begge ender. At blokere betyder, at klienten bevidst stopper IPv6 i at forlade tunnelen, hvilket er sikkert og ubrugeligt til at nå IPv6-destinationer. Begge er legitime; ingen af dem er en standard, du kan gå ud fra. Vælg først kravet, og kontroller derefter, at klienten faktisk implementerer det.

Et gæstenetværk, der kun kører IPv4, kan ikke afprøve en IPv6-rute, så en test, der udføres der, siger intet om hjemmenetværket, hvor begge familier findes. Test der, hvor den relevante familie faktisk udbydes.

Sikkerhedsafbryderen har brug for samme dækning

En sikkerhedsafbryder, der kun dækker IPv4, lader den anden familie gå direkte ud, hvilket netop er det læk, den skulle forhindre. Gennemgå dens regler for begge familier og for overgangsmomenterne, mens tunnelen kommer op eller går ned. At slå IPv6 fra systembredt er ikke en erstatning: det kan ødelægge urelaterede tjenester og skjuler et klientpolitikproblem bag en maskinbred ændring.

Hold DNS adskilt fra alt dette. DNS handler om, hvem der besvarer forespørgslen, og hvordan forespørgslen rejser; applikationsforbindelsen, der følger, har sin egen rute. Den ene kan være korrekt, mens den anden ikke er, og at diagnosticere dem sammen giver forvirrede konklusioner.

Noter, hvilken familie hver test afprøvede, og hvilken egenskab klienten hævder. Det par fakta besvarer det spørgsmål, som et supportmærkat aldrig vil besvare.