Globaalne IPv6-aadress ei tähenda, et liiklus läheb tunnelist mööda
Ulatus ütleb, kui kaugele aadressi võib marsruutida, mitte kuhu see pakett läks. Enne järelduse tegemist lugege liidest, valitud marsruuti ja tunneli prefiksit.
Testleht teatab globaalsest IPv6-aadressist ja järeldus hüppab kohe liiklusele, mis läheb VPN-ist mööda. See järeldus vajab kahte fakti, mida leht kunagi ei näidanud: milline rakendus päringu tegi ja millise marsruudi tuum selle jaoks valis. Aadressi ulatus kirjeldab, kui kaugele aadressi võib marsruutida. See ei ütle midagi selle kohta, kuhu just see pakett läks.
Ulatus ja roll on erinevad küsimused erinevate tõenditega.
Ulatus vastab, kes tohib seda marsruutida, mitte kes seda teeb
Globaalsed unicast-aadressid on avalikus internetis põhimõtteliselt marsruuditavad, unikaalsed kohalikud aadressid on mõeldud sisemiseks topoloogiaks ja lingi-kohalikud aadressid eksisteerivad ainult ühel lingil. Need on aadressiploki omadused. Seda, kas pakett antud sihtkohta lahkub tunnelist, otsustavad marsruutimistabel ja liidesega seotud poliitika, ja mõlemad võivad osutada kummale tahes poole.
Aadress võib olla globaalse ulatusega ja siiski kanduda tunneli sees, sest tunnel on tee, mitte aadressiplaan.
Lugege kõiki aadresse liidesel, mitte veebitesti
Liidese väljund näitab mitut aadressi korraga: välimist aadressi füüsilisel lingil, tunneli aadressi ja lingi-kohalikku aadressi iga liidese kohta. Veebitest näitab ainult ühe päringu lähteaadressi. Alustage käsuga ip -6 addr show ja märkige, millisele liidesele iga aadress kuulub ja millist prefiksipikkust see kannab, ning küsige seejärel, millist liidest päring tegelikult kasutas.
Võrrelge seda käsuga ip -6 route get 2606:4700::1111, mis trükib liidese ja lähte, mille tuum sihtkoha jaoks valiks.
Kuidas globaalne prefiks tunneli sisse satub
Kaks lahendust loovad tunneli liidesel globaalse aadressi. Teenusepakkuja võib delegeerida prefiksi, mis marsruuditakse kliendile läbi tunneli, mis teeb aadressi globaalseks, samal ajal kui tee on endiselt tunnel. Või jätab klient oma natiivse globaalse aadressi ja tunnel kannab seda sisemise liiklusena, samal ajal kui välimine päis teeb töö. Kumbki lahendus ei nõua tõlkimist ja segadus algab seal, kus IPv4 NAT harjumusi peetakse IPv6 nõudeks.
Küsige administraatorilt, milline kahest kehtib. Vastus määrab, mida server teisel pool näeb teie lähtena.
Miks privaatsena näiv aadress ei ole usaldussignaal
Unikaalne kohalik aadress ütleb, et operaator kavatseb seda sisemiseks marsruutimiseks, ja mitte rohkem. See ei tõesta, et seade on hallatud, tarkvara on usaldusväärne või liiklus on krüpteeritud. Vastupidi, globaalne aadress ei tõesta, et liiklus tunnelist pääses, ja just seda eeldust on kogu see artikkel loodud lammutama.
Hinnake usaldust poliitika, autentimise ja krüpteerimise järgi. Aadressi välimus on nõrk heuristika, mis ebaõnnestub mõlemas suunas.
Testige marsruuti ja poliitikat kahe küsimusena
Esiteks marsruut: käivitage curl -6 https://ifconfig.me läbi tunneli ja veel kord füüsilise liidese kaudu, ning võrrelge vastuseid. Teiseks poliitika: kinnitage, millist prefiksit tunnel tegelikult kannab ja kas teisel poolel on selle jaoks tagasitee. Edukas päring avalikku veebisaiti ei tõesta kumbagi, sest see sihtkoht on kättesaadav kõikjalt. Poliitika testiks kasutage sisemist sihtkohta.
Kirjutage üles lähteaadress, mille iga tee tekitas. Need on tõendid, mida väide möödaminekust tegelikult vajab.