IPv6-Status eines Macs nach dem Trennen der VPN prüfen

Erreichen Sie eine Website über IPv4, nachdem der Tunnel weggebrochen ist, haben Sie nichts über IPv6 bewiesen. macOS konfiguriert die beiden Familien getrennt, je Netzwerkdienst, und ein VPN-Client kann die eine ändern, ohne die andere anzufassen. Arbeiten Sie die drei Ebenen der Reihe nach ab: Adresskonfiguration, Routenauswahl und dann jede Richtlinie, die der Client im getrennten Zustand installiert. Lassen Sie das Zugangsnetz in der Zwischenzeit unverändert, sonst vergleichen Sie zwei verschiedene Probleme.

Beginnen Sie mit der Familie, die tatsächlich kaputtgegangen ist

Eine Seite, die über IPv4 lädt, sagt Ihnen, dass das physische Netz lebt. Sie sagt nichts darüber, ob der Dienst eine globale IPv6-Adresse hat, ob das Präfix noch angekündigt wird oder ob etwas die Familie filtert. Bestätigen Sie, was fehlgeschlagen ist, bevor Sie ein Werkzeug wählen, denn ein Name, der zu einer unerreichbaren Adresse auflöst, sieht genauso aus wie ein Name, der überhaupt nicht auflöst. Fragen Sie, welche Ebene falsch geantwortet hat, und schreiben Sie die Antwort auf. Ohne das ist jeder spätere Schritt Vermutung im Gewand eines Verfahrens.

Behalten Sie für den ganzen Vergleich dasselbe WLAN und denselben Zugangspunkt. Ein Café-Netz, das gestern IPv6 angeboten hat, sagt nichts über das aus, in dem Sie jetzt sind.

Lesen Sie die Adresse vor der Route

In den Systemeinstellungen zeigt der TCP/IP-Bereich des aktiven Dienstes, ob IPv6 automatisch, manuell oder nur link-lokal ist. Vergleichen Sie das mit dem, was Sie erwarten, und denken Sie daran, dass eine Organisation die manuelle Konfiguration bewusst gewählt haben kann. Führen Sie dann ifconfig aus und lesen Sie die betreffende Schnittstelle. Eine einzelne fe80::-Adresse bedeutet, dass die Schnittstelle mit ihren Nachbarn sprechen kann und nichts weiter, also ist ein link-lokales Vorkommen kein Beweis für einen nutzbaren Pfad.

Suchen Sie auch nach utun-Schnittstellen, die der Client hinterlassen hat. Ein veraltetes Tunnelgerät kann eine Adresse und eine Route noch lange halten, nachdem der Client es nicht mehr benutzt. Wenn eine vorhanden ist, ist das ein Lebenszyklus-Befund für den Eigentümer des Clients und nichts, was man sofort löscht.

Lesen Sie die Routentabelle für das fehlschlagende Ziel

Fragen Sie den Kernel nach dem Ziel, das fehlgeschlagen ist, nicht nach der Standardroute. route -n get 2001:db8::25 gibt die für diese Adresse gewählte Schnittstelle und das Gateway aus, und netstat -rn -f inet6 zeigt die ganze Tabelle zum Vergleich. Eine Standardroute sagt Ihnen, dass eine Standardroute existiert; sie sagt nicht, dass dieses Ziel sie benutzt.

Halten Sie DNS in einem eigenen Fach. Ein über IPv4 erreichbarer Resolver kann trotzdem AAAA-Einträge liefern, also erzeugen ein Suchfehler und ein Routingfehler dasselbe Symptom im Browser.

Trennen Sie die Blockrichtlinie des Clients von einem Überbleibsel

Manche Clients sind darauf ausgelegt, Verkehr zu blockieren, solange sie getrennt sind, einschließlich der anderen Adressfamilie, und dieses Verhalten ist eine Funktion, kein Fehler.

Finden Sie heraus, welches Verhalten Ihr Client dokumentiert, bevor Sie eine Blockade als Schaden behandeln. scutil --dns zeigt die je Dienst wirksamen Resolver, und dort wird ein vom Client installierter Resolver oder eine begrenzte DNS-Einstellung sichtbar. Prüfen Sie dann, ob Paketfilterregeln installiert und hinterlassen wurden. Eine erwartete Blockade und eine übrig gebliebene Regel verlangen entgegengesetzte Reaktionen, und nur die Dokumentation des Eigentümers unterscheidet sie.

Sichern Sie Beweise, ändern Sie dann eine Sache

Notieren Sie die Client-Version, die macOS-Version, den Netzwerkdienst, die beabsichtigte Richtlinie im getrennten Zustand sowie die Adress- und Routenausgabe auf beiden Seiten eines Verbindungs-Trennungs-Zyklus. Dieser Datensatz macht aus einer Beschwerde ein Lebenszyklusproblem, das jemand untersuchen kann. Nehmen Sie dann eine einzige Änderung vor und messen Sie erneut.

Widerstehen Sie dem Zurücksetzen. Das Löschen virtueller Schnittstellen, das Leeren der Routentabelle und das Abschalten von IPv6 auf der ganzen Maschine zerstören den Zustand, den Sie festhalten mussten, und sie können unabhängige Konfiguration mitnehmen. Wenn der Client einen unterstützten Ablauf zum Pausieren, Reparieren oder Deinstallieren hat, nutzen Sie ihn, und folgen Sie dem Verfahren des Administrators dort, wo das Netz verwaltet wird. Eine Maschine, die bereits zurückgesetzt wurde, gibt dem Eigentümer nichts an die Hand, und sie reproduziert den Fehler meist bei der nächsten Verbindung.