VPN-ist mööda minev IPv6 liiklus: leia lekkiv marsruut

Kaks testilehte ei ole ühel meelel: üks teatab teenusepakkuja aadressi tunneli kaudu, teine teatab sinu koduse prefiksi, ja ilmne järeldus on, et VPN lekib. See järeldus jätab vahele ühe sammu, sest kaks raportit kasutasid kahte erinevat marsruutimisotsust ja ainult üks neist pidi tunnelisse minema. Lünk on tavaliselt tõeline ja see on katvuse probleem, mitte katki läinud tunnel. Kolm küsimust otsustavad: milline voog tegelikult välja läks, millise marsruudi kernel sellele valis ja millist käitumist klient silmas pidas.

Tööta selles järjekorras. Nendele vales järjekorras vastamine tekitab pika vaidluse, kas klient on vigane, samal ajal kui õige vastus on, et IPv6 marsruuti ei paigaldatud kunagi.

Milline voog tegelikult välja läks ja millise adapteri kaudu

Alusta testist, mis nimetab kasutatud perekonna, seejärel kirjuta rakendus, juurdepääsuvõrk, kehtiv profiil ja kas ühendus üldse pakub IPv6-t. Need neli fakti teevad kaks jooksu võrreldavaks, ja neljanda unustavad inimesed: võrk ilma v6 prefiksita ei saa v6 lekkida, ja võrk, mis lisab selle hiljem, muudab vastust.

Saada üks päring perekonna kohta, selle asemel et lehte laadida ja selle tulemust lugeda. Üks leht võib segada v6 ja v4 ressursse, taustaprotsess võib käituda teisiti kui sinu ees olev vahekaart, ja vahemällu salvestatud vastus võib üle elada selle võrgu muudatuse, mida sa testida püüad. Fikseeri testitav sihtkoht ja kirjuta see üles, et korduv jooks mõõdaks sama asja.

Kerneli valitud marsruudi lugemine

Marsruutimistabel vastab küsimusele, millele brauser ei suuda. Küsi süsteemilt, kuhu konkreetne sihtkoht läheks, ja lisa nii poliitikareeglid kui ka nähtav vaikemarsruut, sest mõlemad võivad selle üle kirjutada:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Täpsem prefiks on tavaline põhjus, miks üks sihtkoht jääb tunnelist välja, samal ajal kui kõik muu jääb sisse, ja poliitikareegel võib teha sama mis tahes marsruudist kõrgema prioriteediga. Loe ka mõõdikut, sest sama prefiksi kaks kirjet otsustatakse mõõdiku, mitte ekraanil nähtava järjekorra järgi. Windowsis on samaväärne loend Get-NetRoute -AddressFamily IPv6, mis on järjestatud mõõdiku järgi, et vastata otsusejärjekorrale. Reegel, mis tabelis õige välja näeb, võib siiski kaotada madalama numbriga poliitikareeglile, seetõttu käib reeglite loend marsruutide loendiga samas hinge tõmbes.

Kust kliendi IPv6 poliitika pärineb

Klienti saab ehitada nii, et see viib v6 tunneli kaudu, et see keeldub sellest või lubab nimetatud erandi, ja need kolm kavatsust annavad kolm erinevat õiget tulemust. Loe profiili ja kliendi enda dokumentatsiooni enne, kui nimetad vaatluse lekkeks, sest klient, mis blokeerib v6, samal ajal kui operatsioonisüsteem saadab endiselt naabrite avastamist füüsilisel lingil, käitub nii nagu projekteeritud.

Rakendus, mis on tunnelist teadlikult välja jäetud, on teine juhtum kui perekond, mida tunnel ei kandnud kunagi. Esimene on otsus ühe programmi kohta, teine on lünk katvuses, ja parandus erineb vastavalt. Loe kliendi väljajäetud programmide loendit enne, kui otsid marsruuti, mida ei oleks kunagi pidanud olemas olema.

Kitsas vaatlus, kui tabel on vastuolus

Kui marsruudiotsing on mitmetähenduslik, võib üks liidesevaatlus hostis selle lahendada, kuid ainult siis, kui see on küsimusele suunatud. Liiklus VPN-i lõpp-punkti enda poole läbib projekteeritult füüsilise adapteri; oluline on, kas rakenduse voog, mis on adresseeritud hoopis mujale, ilmub sinna samuti. Filtreeri salvestus testitava sihtkoha järgi, selle asemel et kõike koguda.

Lai salvestus paljastab palju rohkem isiklikku liiklust, kui üks küsimus nõuab. See vastab ka vähem selgelt, sest sind huvitav voog saabub maetuna mittekohaste ühenduste voogu. Filtreeri testitud sihtkoha järgi, peatu pärast mõnda paketti ja kustuta salvestus.

Kolm viisi lünga sulgemiseks

Vii perekond tunnelist läbi, blokeeri see kliendis, kui tunnel ei suuda seda kanda, või registreeri teadlik erand omaniku ja ülevaatamiskuupäevaga. Igaüks on kaitstav, ja ainus, mis ei ole kaitstav, on jätta valik implitsiitseks, sest implitsiitne valik on täpselt see, mis leke on. Kui tunnelil ei ole üldse v6 väljapääsu, on v6-st keeldumine kliendis nii aus kui ka testitav. Oluline on, et valik oleks kirjas seal, kust järgmine inimene selle leiab, mitte pool aastat hiljem käitumisest tuletatud.

Korda kontrolli pärast uuesti ühendamist ja pärast võrkude vahel liikumist, sest eelmise lingi jaoks paigaldatud marsruut võib muudatuse üle elada. Seejärel kirjuta sihtkoht, valitud marsruut, kliendi poliitika ja perekond, mida test kasutas, et järgmine inimene loeks otsust, selle asemel et see uuesti tuletada. RFC 7359 kirjeldab topeltvirna leket projekteerimisprobleemina, mitte veana, ja see on viide, millele tuginetakse, kui keegi väidab, et töötav v4 tunnel katab kõik.