Kial via IPv6-adreso ŝanĝiĝas dum la VPN restas aktiva

Du ekrankopioj kun unu horo inter si montras malsamajn IPv6-fontadresojn, kaj la evidenta legado estas, ke la tunelo likis aŭ rekonektiĝis. Kutime okazis nek unu nek la alia. La gastiganto uzas provizorajn adresojn, privatecan funkcion de la operaciumo, kiu rotacias la interfacan identigilon laŭ tempigilo. La komparo ŝajnis fina nur ĉar ĝi supozis kampon, kiu neniam estis stabila.

Kion provizora adreso fakte rotacias

Provizora adreso estas konstruata el la interfaca antaŭfiksaĵo plus identigilo, kiun la gastiganto ŝanĝas, kaj ĝi portas preferatan kaj validan vivdaŭrojn. Antaŭ ol la valida vivdaŭro finiĝas, la gastiganto generas anstataŭaĵon, do du konektoj povas leĝe eliri el malsamaj fontoj. La loka-ligila adreso kaj la antaŭfiksaĵo mem restas surloke, kaj tiel la reto ankoraŭ rekonas la maŝinon.

Nenio en tiu rotacio igas konton, kuketon aŭ retuman ŝablonon anonima. Retejo, kiu volas rekoni vin, havas kuketojn, ensalutojn kaj fingrospurojn, kaj ŝanĝiĝanta fontadreso apenaŭ registriĝas kontraŭ ili. Rotacio ŝanĝas unu kampon en la paketa kaplinio, kaj tiu kampo neniam estis la sola identigilo sur la vojo.

La retejo vidas unu adreson, la gastiganto tenas plurajn

Servilo registras la fonton de la peto, kiun ĝi ricevis, nenion pli. La gastiganto povas teni plurajn adresojn kun malsamaj atingoj kaj vivdaŭroj, kaj kiu venkas dependas de la reguloj pri adreselekto kaj de la celo. Legi la retejan valoron kiel la maŝinan adreson estas kie tiu konfuzo komenciĝas. Unu gastiganto povas aspekti kiel du maŝinoj al du retejoj en la sama momento, simple ĉar ĉiu konekto elektis malsaman adreson.

Rigardu la interfacon dum testo per ip -6 addr show dev eth0: pluraj adresoj kun siaj vivdaŭroj signifas, ke rotacio ĉeestas laŭ la dezajno. Poste demandu la kernon, kiun vojon ĝi uzus per ip -6 route get 2001:db8:10::5, kio presas la aparaton kaj la preferatan fonton por tiu celo.

Komparu antaŭfiksaĵon, interfacon kaj vojon, ne la ĉenon

En VPN-testado la demando estas, ĉu la paketo eliris tra la tunelo, kaj tio estas demando pri enkursigado kaj politiko. La fontadreso estas malforta anstataŭanto por tio: rotacianta adreso sur la tunela interfaco ankoraŭ estas sur la tunelo. Tunelo, kiu rekonektiĝas, kutime ŝovas la antaŭfiksaĵon aŭ la aparaton anstataŭe, kaj tiuj ŝanĝoj videblas sen legi la plenan adreson.

Do komparu la elektitan vojon, la interfacon tra kiu la paketo eliris, kaj la antaŭfiksaĵon, kiun ĝi portis. Tiuj tri restas sufiĉe stabilaj inter ruloj, kaj ĉiu signifas ion alian, kiam ĝi ŝanĝiĝas.

Ŝanĝo gravas, kiam la antaŭfiksaĵo ŝanĝiĝas, kiam la interfaco ŝanĝiĝas, aŭ kiam la vojo al la celo ĉesas uzi la tunelon. Ŝanĝo nur en la interfaca identigilo, kun la sama antaŭfiksaĵo kaj la sama aparato, estas privateca konduto funkcianta laŭ la intenco. Se nur la identigilo moviĝis, la testo mezuris la privatecan tempigilon anstataŭ la kovradon. Notu, kiu el la tri moviĝis, antaŭ ol vi kulpigas la tunelon.

Ne malŝaltu IPv6 por igi la ekrankopiojn kongruaj

Malŝalti IPv6 igas ripetitajn testojn kongruaj, kaj ĝi ankaŭ forigas tutan adresan familion el la reto, kiun via tunelo devas kovri. Kiam la politiko estas porti IPv6, malŝalti ĝin kaŝas kovran breĉon anstataŭ fermi ĝin.

Se la politiko estas bloki IPv6 ĝis ĝi estos subtenata, bloku ĝin intence kaj skribu la decidon. La sekva administranto devas vidi la diferencon inter dokumentita blokado kaj malŝaltita stako.

Kion registri, kaj kion unu testo povas pruvi

Registru la antaŭfiksaĵon, la nomon de la interfaco, la elektitan vojon, la celon kaj la tempostampon, kun la plena adreso apude. La specifikaĵo pri provizoraj adresoj klarigas la vivdaŭrojn, kiuj pelas la rotacion, kaj tial la plena adreso estas la malplej stabila kampo en la noto. Tio, ke du el la tri stabilaj kampoj kongruas inter ruloj, estas pli forta pruvo ol iu ajn unuopa adresa kongruo.

Unu testo estas unu observo de unu peto. La noto estas tio, kio igas la sekvan observon komparo. Konservu ambaŭ, kaj la sekva malkongruo kostos rigardon anstataŭ posttagmezon.