Ĉu via VPN portas IPv6, aŭ nur atingas la servilon?

Testo de liko nur por IPv4 revenas pura, testo de IPv6 montras vian hejman adreson, kaj la tunelo estas nominale konektita. Tiu kombino oftas en duobla-stakaj retoj, ĉar la VPN ŝanĝis la vojon de unu familio kaj lasis la alian trankvila. La ekstera tunelo kaj la trafiko interne estas du apartaj adresadaj decidoj. Testi unu el ili diras nenion pri la alia.

Kontrolu kaj tion, kion raportas la kliento, kaj kiun familion la peto fakte uzis, ĉar gastigantnomo povas redoni ambaŭ specojn de respondo.

Du familioj, du malsamaj vojoj

La operaciumo tenas enkursigan tabelon por ĉiu adresa familio. Instali defaŭltan vojon por IPv4 ne instalas unu por IPv6, kaj tunela finpunkto atingebla per IPv4 diras nenion pri tio, ĉu trafiko IPv6 eniras ĝin. Kiam ne ekzistas defaŭlta vojo IPv6 tra la tunelo, la gastiganto uzas kiun ajn vojon IPv6 ĝi havas, kiu ofte estas la fizika ligilo. El la vidpunkto de la aplikaĵo, la konekto estas simple rekta.

Gastigantnomo, kiu redonas kaj A kaj AAAA rikordojn, malfaciligas vidi tion, ĉar aplikaĵoj povas provi la familiojn en malsamaj ordoj. Peto, kiu sukcesas, ne pruvas, kiun vojon ĝi iris. Uzu teston, kiu nomas la familion, kiun ĝi provis.

Atingi la servilon ne estas porti la trafikon

Provizantoj uzas la frazon subteno de IPv6 por pluraj malsamaj kapabloj. La finpunkto povas akcepti konekton per IPv6, dum la tunelo ankoraŭ portas nur IPv4. La tunelo povas porti internajn pakaĵojn IPv6, dum la ekstera transporto restas IPv4. Aŭ la kliento povas tute bloki IPv6, por ke nenio eskapu ekster la tunelon. Tiuj estas tri apartaj kondutoj, kaj paĝo, kiu diras nur IPv6 estas subtenata, ne distingas ilin.

Demandu, kiun el ili la dezajno bezonas. Reto, kiu devas atingi servojn nur per IPv6, bezonas portadon. Reto, kiu devas malhelpi rektan trafikon IPv6, bezonas blokadon aŭ plenan portadon, ne etikedon sur merkatika paĝo.

Elektu inter porti kaj bloki

Portado signifas, ke la tunelo havas adreson IPv6, defaŭltan vojon interne, kaj politikon permesantan la trafikon ĉe ambaŭ finoj. Blokado signifas, ke la kliento intence haltigas IPv6 de eliro ekster la tunelon, kio estas sekura kaj senutila por atingi celojn IPv6. Ambaŭ estas legitimaj; nek unu estas defaŭlto, kiun vi povas supozi. Elektu unue la postulon, poste kontrolu, ĉu la kliento vere efektivigas ĝin.

Gasta reto nur per IPv4 ne povas ekzerci vojon IPv6, do testo farita tie diras nenion pri la hejma reto, kie ekzistas ambaŭ familioj. Testu tie, kie la koncerna familio vere estas ofertata.

La sekureca ŝaltilo bezonas la saman kovradon

Sekureca ŝaltilo, kiu kovras nur IPv4, lasas la alian familion libera eliri rekte, kaj tio estas ĝuste la liko, kiun ĝi devis malhelpi. Revizuu ĝiajn regulojn por ambaŭ familioj kaj por la transiraj momentoj, dum la tunelo leviĝas aŭ falas. Malŝalti IPv6 tutsisteme ne estas anstataŭaĵo: ĝi povas rompi nerilatajn servojn kaj kaŝas problemon de klienta politiko malantaŭ tutmaŝina ŝanĝo.

Tenu DNS aparte de ĉio ĉi. DNS temas pri tio, kiu respondas la demandojn kaj kiel la demando vojaĝas; la aplikaĵa konekto, kiu sekvas, havas sian propran vojon. Unu povas esti ĝusta dum la alia ne, kaj diagnozi ilin kune produktas konfuzajn konkludojn.

Notu, kiun familion ĉiu testo ekzercis kaj kiun kapablon la kliento asertas. Tiu paro da faktoj respondas la demandon, kiun subtena etikedo neniam respondos.