Μια καθολική διεύθυνση IPv6 δεν σημαίνει ότι η κίνηση παρακάμπτει το τούνελ

Μια δοκιμαστική σελίδα αναφέρει μια καθολική διεύθυνση IPv6 και το συμπέρασμα πηδά κατευθείαν σε κίνηση που παρακάμπτει το VPN. Αυτό το συμπέρασμα χρειάζεται δύο γεγονότα που η σελίδα δεν έδειξε ποτέ: ποια εφαρμογή έκανε το αίτημα και ποια διαδρομή επέλεξε ο πυρήνας για αυτό. Το εύρος της διεύθυνσης περιγράφει πόσο μακριά μπορεί να δρομολογηθεί μια διεύθυνση. Δεν λέει τίποτα για το πού πήγε αυτό το συγκεκριμένο πακέτο.

Εύρος και ρόλος είναι διαφορετικά ερωτήματα με διαφορετικά στοιχεία.

Το εύρος απαντά ποιος μπορεί να τη δρομολογήσει, όχι ποιος το κάνει

Οι καθολικές διευθύνσεις unicast είναι κατ' αρχήν δρομολογήσιμες στο δημόσιο διαδίκτυο, οι μοναδικές τοπικές διευθύνσεις προορίζονται για εσωτερική τοπολογία και οι τοπικές διευθύνσεις ζεύξης υπάρχουν μόνο σε μία ζεύξη. Αυτά είναι ιδιότητες του μπλοκ διευθύνσεων. Το αν ένα πακέτο προς έναν δεδομένο προορισμό φεύγει μέσα από το τούνελ το αποφασίζουν ο πίνακας δρομολόγησης και η πολιτική που συνδέεται με τη διεπαφή, και τα δύο μπορούν να δείχνουν προς οποιαδήποτε κατεύθυνση.

Μια διεύθυνση μπορεί να έχει καθολικό εύρος και παρόλα αυτά να μεταφέρεται μέσα σε τούνελ, γιατί το τούνελ είναι διαδρομή και όχι σχέδιο διευθύνσεων.

Διαβάστε όλες τις διευθύνσεις στη διεπαφή, όχι τη δοκιμή ιστού

Η έξοδος της διεπαφής δείχνει πολλές διευθύνσεις ταυτόχρονα: την εξωτερική διεύθυνση στη φυσική ζεύξη, τη διεύθυνση του τούνελ και μια τοπική διεύθυνση ζεύξης ανά διεπαφή. Η δοκιμή ιστού δείχνει μόνο τη διεύθυνση προέλευσης ενός αιτήματος. Ξεκινήστε με ip -6 addr show και σημειώστε ποια διεπαφή κατέχει κάθε διεύθυνση και τι μήκος προθέματος φέρει, και μετά ρωτήστε ποια διεπαφή χρησιμοποίησε πραγματικά το αίτημα.

Συγκρίνετε το με το ip -6 route get 2606:4700::1111, που εκτυπώνει τη διεπαφή και την προέλευση που θα επέλεγε ο πυρήνας για έναν προορισμό.

Πώς ένα καθολικό πρόθεμα καταλήγει μέσα σε τούνελ

Δύο σχεδιασμοί παράγουν καθολική διεύθυνση σε διεπαφή τούνελ. Ο πάροχος μπορεί να εκχωρήσει ένα πρόθεμα που δρομολογείται στον πελάτη μέσω του τούνελ, κάτι που κάνει τη διεύθυνση καθολική ενώ η διαδρομή παραμένει το τούνελ. Ή ο πελάτης κρατά την εγγενή καθολική του διεύθυνση και το τούνελ τη μεταφέρει ως εσωτερική κίνηση ενώ η εξωτερική κεφαλίδα κάνει τη δουλειά. Κανένας από τους δύο σχεδιασμούς δεν απαιτεί μετάφραση, και η σύγχυση αρχίζει εκεί όπου συνήθειες του IPv4 NAT θεωρούνται απαίτηση του IPv6.

Ρωτήστε τον διαχειριστή ποιος από τους δύο ισχύει. Η απάντηση καθορίζει τι βλέπει ένας διακομιστής στην άλλη πλευρά ως πηγή σας.

Γιατί μια διεύθυνση που μοιάζει ιδιωτική δεν είναι σήμα εμπιστοσύνης

Μια μοναδική τοπική διεύθυνση λέει ότι ο φορέας την προορίζει για εσωτερική δρομολόγηση, και τίποτα περισσότερο. Δεν αποδεικνύει ότι η συσκευή διαχειρίζεται, ότι το λογισμικό είναι αξιόπιστο ή ότι η κίνηση είναι κρυπτογραφημένη. Αντιστρόφως, μια καθολική διεύθυνση δεν αποδεικνύει ότι η κίνηση διέφυγε από το τούνελ, και αυτή ακριβώς είναι η υπόθεση που υπάρχει για να διαλύσει όλο αυτό το άρθρο.

Κρίνετε την εμπιστοσύνη από την πολιτική, τον έλεγχο ταυτότητας και την κρυπτογράφηση. Η εμφάνιση της διεύθυνσης είναι μια αδύναμη ευρετική που αποτυγχάνει και προς τις δύο κατευθύνσεις.

Δοκιμάστε διαδρομή και πολιτική ως δύο ερωτήματα

Πρώτα η διαδρομή: εκτελέστε το curl -6 https://ifconfig.me μέσα από το τούνελ και ξανά μέσω της φυσικής διεπαφής, και συγκρίνετε τις απαντήσεις. Δεύτερο η πολιτική: επιβεβαιώστε ποιο πρόθεμα μεταφέρει πραγματικά το τούνελ και αν η άλλη πλευρά έχει διαδρομή επιστροφής για αυτό. Ένα επιτυχές αίτημα προς δημόσιο ιστότοπο δεν αποδεικνύει κανένα από τα δύο, γιατί αυτός ο προορισμός είναι προσβάσιμος από παντού. Χρησιμοποιήστε εσωτερικό προορισμό για τη δοκιμή πολιτικής.

Καταγράψτε τη διεύθυνση προέλευσης που παρήγαγε κάθε διαδρομή. Αυτά είναι τα στοιχεία που χρειάζεται πραγματικά ένας ισχυρισμός περί παράκαμψης.