Tutmonda IPv6-adreso ne signifas, ke la trafiko preterpasas la tunelon

Testpaĝo raportas tutmondan IPv6-adreson kaj la konkludo tuj saltas al trafiko, kiu preterpasas la VPN. Tiu konkludo bezonas du faktojn, kiujn la paĝo neniam montris: kiu aplikaĵo faris la peton, kaj kiun vojon la kerno elektis por ĝi. La amplekso de adreso priskribas kiom malproksimen adreso rajtas esti enkursigita. Ĝi diras nenion pri tio, kien ĉi tiu konkreta paketo iris.

Amplekso kaj rolo estas malsamaj demandoj kun malsamaj pruvoj.

La amplekso respondas, kiu rajtas enkursigi ĝin, ne kiu faras tion

Tutmondaj unicast-adresoj estas principe enkursigeblaj en la publika interreto, unikaj lokaj adresoj estas destinitaj por interna topologio, kaj ligil-lokaj adresoj ekzistas nur sur unu ligilo. Tiuj estas ecoj de la adresbloko. Ĉu paketo al difinita celo eliras tra la tunelo, decidas la enkursiga tabelo kaj la politiko ligita al la interfaco, kaj ambaŭ povas montri en ajnan direkton.

Adreso povas esti tutmonde ampleksa kaj tamen esti portata ene de tunelo, ĉar la tunelo estas vojo, ne adresa plano.

Legu ĉiujn adresojn sur la interfaco, ne la retan teston

La eligo de la interfaco montras plurajn adresojn samtempe: la eksteran adreson sur la fizika ligilo, la tunelan adreson, kaj ligil-lokan adreson por ĉiu interfaco. La reta testo montras nur la fontan adreson de unu peto. Komencu per ip -6 addr show kaj notu, kiu interfaco posedas ĉiun adreson kaj kiun prefiksan longon ĝi portas, poste demandu, kiun interfacon la peto efektive uzis.

Komparu tion kun ip -6 route get 2606:4700::1111, kiu presas la interfacon kaj fonton, kiujn la kerno elektus por celo.

Kiel tutmonda prefikso finiĝas ene de tunelo

Du dezajnoj produktas tutmondan adreson sur tunela interfaco. La provizanto povas delegi prefikson enkursigitan al la kliento tra la tunelo, kio faras la adreson tutmonda dum la vojo restas la tunelo. Aŭ la kliento konservas sian propran tutmondan adreson kaj la tunelo portas ĝin kiel internan trafikon dum la ekstera kaplinio faras la laboron. Neniu el la du dezajnoj postulas tradukadon, kaj la konfuzo komenciĝas tie, kie kutimoj de IPv4 NAT estas traktataj kiel postulo de IPv6.

Demandu la administranton, kiu el la du validas. La respondo difinas, kion servilo ĉe la alia flanko vidas kiel vian fonton.

Kial adreso, kiu aspektas privata, ne estas signo de fido

Unika loka adreso diras, ke la operatoro celas ĝin por interna enkursigado, kaj nenion pli. Ĝi ne pruvas, ke la aparato estas administrata, ke la programaro estas fidinda, aŭ ke la trafiko estas ĉifrita. Inverse, tutmonda adreso ne pruvas, ke la trafiko eskapis el la tunelo, kaj ĝuste tiu supozo estas tio, kion ĉi tiu tuta artikolo ekzistas por malkonstrui.

Juĝu fidon laŭ politiko, aŭtentigo kaj ĉifrado. La aspekto de adreso estas malforta heŭristiko, kiu malsukcesas en ambaŭ direktoj.

Testu vojon kaj politikon kiel du demandojn

Unue la vojo: rulu curl -6 https://ifconfig.me tra la tunelo kaj denove tra la fizika interfaco, kaj komparu la respondojn. Due la politiko: konfirmu, kiun prefikson la tunelo efektive portas kaj ĉu la alia flanko havas revenan vojon por ĝi. Sukcesa peto al publika retejo pruvas nenion el tio, ĉar tiu celo estas atingebla de ie ajn. Uzu internan celon por la politika testo.

Notu la fontan adreson, kiun ĉiu vojo produktis. Tio estas la pruvo, kiun aserto pri preterpaso efektive bezonas.