¿Su VPN transporta IPv6 o solo llega al servidor?

Una prueba de fugas solo para IPv4 vuelve limpia, una prueba de IPv6 muestra su dirección de casa y el túnel está conectado de forma nominal. Esa combinación es habitual en redes de doble pila, porque la VPN cambió la ruta de una familia y dejó la otra en paz. El túnel exterior y el tráfico que hay dentro son dos decisiones de direccionamiento separadas. Probar una de ellas no dice nada de la otra.

Compruebe tanto lo que informa el cliente como qué familia usó realmente la petición, porque un nombre de host puede devolver ambos tipos de respuesta.

Dos familias, dos rutas distintas

El sistema operativo mantiene una tabla de enrutamiento por cada familia de direcciones. Instalar una ruta predeterminada para IPv4 no instala una para IPv6, y un extremo de túnel alcanzable por IPv4 no dice nada sobre si el tráfico IPv6 entra en él. Cuando no existe una ruta predeterminada IPv6 por el túnel, el host usa la ruta IPv6 que tenga, que a menudo es el enlace físico. Desde el punto de vista de la aplicación, la conexión es simplemente directa.

Un nombre de host que devuelve registros A y AAAA a la vez hace que esto sea más difícil de ver, porque las aplicaciones pueden probar las familias en órdenes distintos. Una petición que tiene éxito no demuestra qué ruta tomó. Use una prueba que nombre la familia que ha ejercitado.

Llegar al servidor no es transportar el tráfico

Los proveedores usan la frase compatibilidad con IPv6 para varias capacidades distintas. El extremo puede aceptar una conexión por IPv6 mientras el túnel sigue transportando solo IPv4. El túnel puede transportar paquetes internos IPv6 mientras el transporte exterior sigue siendo IPv4. O el cliente puede bloquear IPv6 por completo para que nada se escape fuera del túnel. Son tres comportamientos distintos, y una página que solo dice que se admite IPv6 no los distingue.

Pregunte cuál necesita el diseño. Una red que debe llegar a servicios solo IPv6 necesita transporte. Una red que debe impedir el tráfico IPv6 directo necesita bloqueo o transporte completo, no una etiqueta en una página de marketing.

Decida entre transportar y bloquear

Transportar significa que el túnel tiene una dirección IPv6, una ruta predeterminada dentro y una política que permite el tráfico en ambos extremos. Bloquear significa que el cliente detiene deliberadamente que IPv6 salga fuera del túnel, lo cual es seguro e inútil para llegar a destinos IPv6. Ambas son legítimas; ninguna es un valor predeterminado que pueda suponer. Elija primero el requisito y luego verifique que el cliente lo implementa de verdad.

Una red de invitados solo IPv4 no puede ejercitar una ruta IPv6, así que una prueba hecha allí no dice nada de la red doméstica donde existen ambas familias. Pruebe donde la familia relevante se ofrece de verdad.

El interruptor de seguridad necesita la misma cobertura

Un interruptor de seguridad que solo cubre IPv4 deja a la otra familia libre para salir directamente, que es exactamente la fuga que debía impedir. Revise sus reglas para ambas familias y para los momentos de transición, mientras el túnel sube o baja. Apagar IPv6 en todo el sistema no es un sustituto: puede romper servicios no relacionados y esconde un problema de política del cliente detrás de un cambio en toda la máquina.

Mantenga el DNS separado de todo esto. El DNS tiene que ver con quién responde la consulta y cómo viaja la consulta; la conexión de aplicación que sigue tiene su propia ruta. Una puede ser correcta mientras la otra no lo es, y diagnosticarlas juntas produce conclusiones confusas.

Anote qué familia ejercitó cada prueba y qué capacidad afirma el cliente. Ese par de hechos responde la pregunta que una etiqueta de soporte nunca responderá.