Una dirección IPv6 global no significa que el tráfico se salte el túnel

Una página de prueba informa de una dirección IPv6 global y la conclusión salta directo a un tráfico que se salta la VPN. Esa conclusión necesita dos hechos que la página nunca mostró: qué aplicación hizo la petición y qué ruta eligió el núcleo para ella. El alcance de la dirección describe hasta dónde se puede enrutar una dirección. No dice nada sobre adónde fue este paquete concreto.

Alcance y papel son preguntas distintas con pruebas distintas.

El alcance responde quién puede enrutarla, no quién lo hace

Las direcciones unicast globales son enrutables en la internet pública en principio, las direcciones únicas locales están pensadas para topología interna y las direcciones locales de enlace solo existen en un enlace. Son propiedades del bloque de direcciones. Si un paquete hacia un destino dado sale por el túnel lo deciden la tabla de enrutamiento y la política asociada a la interfaz, y ambas pueden apuntar en cualquier dirección.

Una dirección puede tener alcance global y aun así viajar dentro de un túnel, porque el túnel es un camino y no un plan de direcciones.

Lee todas las direcciones de la interfaz, no la prueba web

La salida de la interfaz muestra varias direcciones a la vez: la dirección exterior en el enlace físico, la dirección del túnel y una dirección local de enlace por interfaz. La prueba web solo muestra la dirección de origen de una petición. Empieza con ip -6 addr show y anota qué interfaz posee cada dirección y qué longitud de prefijo lleva, y luego pregunta qué interfaz usó realmente la petición.

Compáralo con ip -6 route get 2606:4700::1111, que imprime la interfaz y el origen que el núcleo elegiría para un destino.

Cómo acaba un prefijo global dentro de un túnel

Dos diseños producen una dirección global en una interfaz de túnel. El proveedor puede delegar un prefijo enrutado al cliente a través del túnel, lo que hace global la dirección mientras el camino sigue siendo el túnel. O el cliente conserva su dirección global nativa y el túnel la transporta como tráfico interior mientras la cabecera exterior hace el trabajo. Ninguno de los dos diseños requiere traducción, y la confusión empieza donde las costumbres de IPv4 NAT se toman como un requisito de IPv6.

Pregunta al administrador cuál de los dos se aplica. La respuesta determina qué ve un servidor del otro lado como tu origen.

Por qué una dirección que parece privada no es una señal de confianza

Una dirección única local dice que el operador la destina a enrutamiento interno, y nada más. No demuestra que el dispositivo esté gestionado, que el software sea fiable o que el tráfico esté cifrado. A la inversa, una dirección global no demuestra que el tráfico se haya escapado del túnel, y esa es justo la suposición que todo este artículo existe para desmontar.

Juzga la confianza por la política, la autenticación y el cifrado. La apariencia de la dirección es una heurística débil que falla en ambas direcciones.

Prueba ruta y política como dos preguntas

Primero la ruta: ejecuta curl -6 https://ifconfig.me por el túnel y de nuevo por la interfaz física, y compara las respuestas. Segundo la política: confirma qué prefijo lleva realmente el túnel y si el otro lado tiene una ruta de vuelta para él. Una petición correcta a un sitio público no demuestra ninguna de las dos, porque ese destino es alcanzable desde cualquier lugar. Usa un destino interno para la prueba de política.

Anota la dirección de origen que produjo cada camino. Esa es la prueba que una afirmación sobre saltarse el túnel necesita de verdad.