Por qué cambia su dirección IPv6 mientras la VPN sigue activa

Dos capturas de pantalla separadas por una hora muestran direcciones de origen IPv6 distintas, y la lectura obvia es que el túnel filtró o se reconectó. Normalmente no ocurrió ninguna de las dos cosas. El host usa direcciones temporales, una función de privacidad del sistema operativo que rota el identificador de la interfaz con un temporizador. La comparación parecía concluyente solo porque daba por sentado un campo que nunca fue estable.

Qué rota realmente una dirección temporal

Una dirección temporal se construye con el prefijo de la interfaz más un identificador que el host cambia, y lleva una vida útil preferida y una válida. Antes de que la vida útil válida expire, el host genera un reemplazo, así que dos conexiones pueden salir legítimamente desde orígenes distintos. La dirección de enlace local y el propio prefijo se quedan en su sitio, y así la red sigue reconociendo la máquina.

Nada en esa rotación hace anónimos una cuenta, una cookie o un patrón de navegación. Un sitio que quiera reconocerle tiene cookies, inicios de sesión y huellas, y una dirección de origen cambiante apenas cuenta frente a eso. La rotación cambia un campo de la cabecera del paquete, y ese campo nunca fue el único identificador del camino.

El sitio web ve una dirección, el host tiene varias

Un servidor anota el origen de la petición que recibió, nada más. El host puede tener varias direcciones con ámbitos y vidas útiles diferentes, y cuál gana depende de las reglas de selección de direcciones y del destino. Leer el valor del sitio web como la dirección de la máquina es donde empieza esta confusión. Un solo host puede parecer dos máquinas para dos sitios en el mismo momento, simplemente porque cada conexión eligió una dirección distinta.

Mire la interfaz durante una prueba con ip -6 addr show dev eth0: varias direcciones con sus vidas útiles significan que la rotación está presente por diseño. Luego pregunte al núcleo qué ruta usaría con ip -6 route get 2001:db8:10::5, que imprime el dispositivo y el origen preferido para ese destino.

Compare prefijo, interfaz y ruta, no la cadena

En las pruebas de VPN la pregunta es si el paquete salió por el túnel, y eso es una cuestión de enrutamiento y política. La dirección de origen es un indicador débil: una dirección que rota en la interfaz del túnel sigue estando en el túnel. Un túnel que se reconecta normalmente desplaza el prefijo o el dispositivo, y esos cambios se ven sin leer la dirección completa.

Así que compare la ruta seleccionada, la interfaz por la que salió el paquete y el prefijo que llevaba. Esos tres se mantienen lo bastante estables entre ejecuciones, y cada uno significa algo distinto cuando cambia.

Un cambio importa cuando cambia el prefijo, cuando cambia la interfaz o cuando la ruta al destino deja de usar el túnel. Un cambio solo en el identificador de la interfaz, con el mismo prefijo y el mismo dispositivo, es privacidad funcionando como se pretendía. Si solo se movió el identificador, la prueba midió el temporizador de privacidad en lugar de la cobertura. Anote cuál de los tres se movió antes de culpar al túnel.

No desactive IPv6 para que las capturas coincidan

Apagar IPv6 hace que las pruebas repetidas coincidan, y también quita toda una familia de direcciones de la red que su túnel debería cubrir. Cuando la política es transportar IPv6, desactivarlo oculta un hueco de cobertura en lugar de cerrarlo.

Si la política es bloquear IPv6 hasta que esté soportado, bloquéelo a propósito y deje constancia de la decisión. El siguiente administrador necesita ver la diferencia entre un bloqueo documentado y una pila desactivada.

Qué registrar y qué puede demostrar una sola prueba

Registre el prefijo, el nombre de la interfaz y la ruta seleccionada, el destino y la marca de tiempo, con la dirección completa al lado. La especificación de direcciones temporales explica las vidas útiles que mueven la rotación, y por eso la dirección completa es el campo menos estable de la nota. Que dos de los tres campos estables coincidan entre ejecuciones es una evidencia más fuerte que cualquier coincidencia de una sola dirección.

Una sola prueba es una observación de una sola petición. La nota es lo que convierte la siguiente observación en una comparación. Guarde ambas, y la próxima discrepancia costará un vistazo en lugar de una tarde.