Kiel testi IPv6 tra VPN per via propra rimedo
Vi ne bezonas publikan IPv6-kontrolilon por pruvi, ke unu vojo funkcias. Uzu rimedon, kiun vi kontrolas, kaptu ambaŭ finojn kaj notu, kion la testo ne kovris.
Publika IP-kontrolpaĝo respondas unu demandon, kaj kutime ne tiun, kiun vi starigis. Ĝi diras al vi la eliran adreson, kiun la paĝo vidis; ĝi ne diras, ĉu la IPv6-itinero tra la tunelo funkcias, ĉu la gastiganto preferis IPv6 aŭ retropaŝis, aŭ ĉu ekskludita aplikaĵo prenis alian vojon. Rajtigita rimedo, kiun vi kontrolas, ĝuste respondas la pli mallarĝan demandon, ĉar vi vidas ambaŭ finojn. La gvidilo sube temas pri atingi konkludon, kiun vi povas defendi, ne pri verda rezulto.
Paŝo 1: diru, kiun IPv6-vojon vi testas
Diru ĝin en unu frazo. Peto al la propra IPv6-adreso de la tunela servilo testas la tunnelon; peto al gastiganto preter la eliro testas la IPv6-eliron de la eliro; peto al privata IPv6-adreso testas internan itinieron.
Tiuj estas tri malsamaj asertoj kaj unu sukcesa peto ne povas subteni ĉiujn. Elektu tiun, kiu gravas por la decido antaŭ vi, kaj skribu ĝin antaŭ ol vi lanĉos ion ajn. Se la zorgo estas, ĉu IPv6 likas ĉirkaŭ la tunelo, la demando temas pri la itinera elekto de la gastiganto, ne pri la atingeblo de la eliro. Se la zorgo estas, ĉu la malproksima flanko atingas internan servon, la eliro estas nerelevanta.
Paŝo 2: konfirmu, ke la gastiganto elektas tiun itinieron
ip -6 route get 2001:db8:1::10 presas la itinieron, la fontan adreson kaj la interfacon, kiun la kerno uzus, kaj de tiu fakto dependas la resto de la testo.
Interfaco ekzistanta ne estas la sama afero kiel ĝia elekto. Dul-stakaj gastigantoj havas prioritatotabelon, kaj /etc/gai.conf ĉe Linux povas ŝanĝi, kiu familio venkas por nomo, kiu solviĝas al ambaŭ.
Paŝo 3: uzu legitiman celon kaj legitiman nomon
Se vi testas HTTPS, uzu la gastigantnomon, por kiu la atestilo estis eldonita, kaj lasu kontroladon ŝaltita; transiri al laŭvorta adreso por igi la teston sukcesi malŝaltas ĝuste la kontrolon, kiu pruvas, ke vi atingis la celitan gastiganton. Diagnoza servo, kiun vi kontrolas, respondanta ĉe konata nomo kun valida atestilo, estas la plej pura celo. Ĝi ankaŭ donas al vi servilan protokollinion por korelacii, kion kontrolilo de tria partio neniam donos.
Lanĉu la peton en formo, kiu montras la uzitan adreson: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. La -6 devigas la familion, kaj tiel vi apartigas IPv6 ne funkcias de IPv6 ne estis preferita.
Por pura atingeblo-kontrolo, kie ICMPv6 estas permesita, ping -6 -c 3 2001:db8:1::10 sufiĉas. Ĝi pruvas la vojon kaj nenion super ĝi.
Paŝo 4: korelaciu ambaŭ finojn
Kiam vi havas aliron al ambaŭ finoj, lanĉu tcpdump -ni any ip6 and host 2001:db8:1::10 ĉe la kliento kaj la ekvivalenton ĉe la rimedo, kun tempmarkoj, kaj konfirmu, ke la sama fluo aperas ĉe ambaŭ. Tio transformas verŝajnan rezulton en pruvon: la vido de la kliento sola ne povas distingi respondon de la rimedo disde respondo de io intere. Tenu la kapton mallarĝa al la unu celo, por ke la eligo restu legebla kaj nenies necela sesio finiĝu en la dosiero.
Ripetu la teston post rekonekto, se la zorgo estas, ĉu politiko postvivas restartigon. Itinera kaj fajroŝirma stato aplikita unufoje ĉe konekto povas malsami de stato reaplikata, kaj la diferenco montriĝas nur ĉe la dua konekto.
Testu la malsukcesan kazon aparte, se vi bezonas ĝin. Tunelo, kiu blokas IPv6 kiam ĝi falas, kaj unu, kiu likas ĝin, estas malsamaj dezajnoj, kaj nur unu el ili povas esti konfirmita per sukcesa peto.
Paŝo 5: skribu, kion la testo ne pruvis
La kvina paŝo estas skribi, kion la testo ne pruvis, kaj ĝuste tiu parto estas preterlasata. Sukcesa testo de privata finpunkto ne pruvas publikan IPv6-eliron, ne pruvas DNS-konduton kaj ne kovras aplikaĵojn, kiujn vi ekskludis de la tunelo. Ĉiu el tiuj bezonas sian propran celon kaj sian propran observon. Noto, kiu diras, ke IPv6 funkcias post unu peto al unu gastiganto, ne estas trovo; ĝi estas konjekto kun tempmarko.
La registro inda je konservado estas mallonga: la celo, la nomo, la fonta adreso, kiun la gastiganto elektis, la observita malproksima adreso kaj la tempo. RFC 7359 diskutas kiel testi, ke koncerna IPv6-vojo estas efektive uzebla, kaj tio estas la normo, al kiu ĉi tiu gvidilo alproksimiĝas per pli simplaj iloj. Se la konkludo bezonas publikan kontrolilon por esti vera, la testo ne estis sufiĉe specifa.