Kuidas testida IPv6-t VPN-i kaudu oma ressursiga

Avalik IP-kontrolli leht vastab ühele küsimusele ja tavaliselt mitte sellele, mille te esitasite. See ütleb väljumisaadressi, mida leht nägi; see ei ütle, kas IPv6-marsruut läbi tunneli töötab, kas host eelistas IPv6-te või langes tagasi, ega seda, kas väljajäetud rakendus läks teist teed. Volitatud ressurss, mida kontrollite, vastab kitsamale küsimusele korralikult, sest näete mõlemat otsa. Allolev juhend räägib järelduse saamisest, mida saate kaitsta, mitte rohelisest tulemusest.

Samm 1: öelge, millist IPv6-teed te testite

Öelge seda ühe lausega. Päring tunnelserveri enda IPv6-aadressile testib tunnelit; päring väljumisest kaugemal asuvale hostile testib väljumise IPv6-väljundit; päring privaatsele IPv6-aadressile testib sisemist marsruuti.

Need on kolm erinevat väidet ja üks edukas päring ei saa toetada kõiki kolme. Valige see, mis loeb teie ees oleva otsuse jaoks, ja kirjutage see üles enne, kui midagi käivitate. Kui mure on, kas IPv6 lekib tunneli ümbert, puudutab küsimus hosti marsruudivalikut, mitte väljumise kättesaadavust. Kui mure on, kas kaugem pool pääseb sisemisele teenusele, on väljumine asjakohatu.

Samm 2: kinnitage, et host valib selle marsruudi

ip -6 route get 2001:db8:1::10 prindib marsruudi, lähteaadressi ja liidese, mida tuum kasutaks, ja just sellest faktist sõltub ülejäänud test.

Liidese olemasolu ei ole sama mis selle valimine. Kahe virna hostidel on prioriteedtabel ja /etc/gai.conf Linuxis võib muuta, milline perekond võidab nime puhul, mis laheneb mõlemaks.

Samm 3: kasutage seaduslikku sihtkohta ja nime

Kui testite HTTPS-i, kasutage hostinime, mille jaoks sertifikaat väljastati, ja hoidke kontrollimine sees; literaalsele aadressile üleminek, et test läbi läheks, lülitab välja täpselt selle kontrolli, mis tõestab, et jõudsite kavandatud hostini. Diagnostikateenus, mida kontrollite ja mis vastab tuntud nimel kehtiva sertifikaadiga, on kõige puhtam sihtmärk. See annab teile ka serveripoolse logirea, millega korreleerida, mida kolmanda osapoole kontrollija kunagi ei anna.

Käivitage päring kujul, mis näitab kasutatud aadressi: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. -6 sunnib perekonna ja nii eraldate IPv6 ei tööta olukorrast IPv6 ei eelistatud.

Puhta kättesaadavuse kontrolli jaoks, kus ICMPv6 on lubatud, piisab käsust ping -6 -c 3 2001:db8:1::10. See tõestab tee ja mitte midagi sellest kõrgemat.

Samm 4: korreleerige mõlemad otsad

Kui teil on juurdepääs mõlemale otsale, käivitage tcpdump -ni any ip6 and host 2001:db8:1::10 kliendis ja selle vaste ressursis, ajatemplitega, ning kinnitage, et sama voog ilmub mõlemas. Just see muudab usutava tulemuse tõendiks: üksi kliendi vaade ei suuda eristada ressursi vastust vastusest millegi vahepealse poolt. Hoidke jäädvustus kitsana ühele sihtkohale, et väljund jääks loetavaks ja et kellegi mitteseotud sessioon ei jõuaks faili.

Korrake testi pärast taasühendamist, kui mure on, kas poliitika elab taaskäivituse üle. Ühenduse ajal üks kord rakendatud marsruudi ja tulemüüri olek võib erineda olekust, mida rakendatakse uuesti, ja erinevus ilmneb alles teisel ühendusel.

Testige nurjumise juhtu eraldi, kui seda vajate. Tunnel, mis blokeerib IPv6, kui see maha tuleb, ja tunnel, mis laseb selle läbi, on erinevad lahendused, ja ainult ühte neist saab edukas päring kinnitada.

Samm 5: kirjutage üles, mida test ei tõestanud

Viies samm on kirjutada üles, mida test ei tõestanud, ja just see osa jääb sageli välja. Edukas privaatse lõpp-punkti test ei tõesta avalikku IPv6-väljundit, ei tõesta DNS-i käitumist ega kata rakendusi, mille te tunnelist välja jätsite. Igaüks neist vajab oma sihtkohta ja oma vaatlust. Märkus, et IPv6 töötab pärast üht päringut ühele hostile, ei ole leid; see on ajatempliga oletus.

Salvestis, mida tasub hoida, on lühike: sihtkoht, nimi, hosti valitud lähteaadress, vaadeldud kaugadress ja aeg. RFC 7359 käsitleb seda, kuidas testida, et asjakohane IPv6-tee on tõesti kasutatav, ja see on standard, millele see juhend lihtsamate tööriistadega läheneb. Kui järeldus vajab tõele vastamiseks avalikku kontrollijat, ei olnud test piisavalt konkreetne.