Kas teie VPN kannab IPv6-te või jõuab ainult serverini?

Ainult IPv4 jaoks mõeldud lekketest tuleb puhas, IPv6 test näitab teie kodust aadressi ja tunnel on nominaalselt ühendatud. See kombinatsioon on dual-stack-võrkudes tavaline, sest VPN muutis ühe perekonna teed ja jättis teise puutumata. Väline tunnel ja selle sees olev liiklus on kaks eraldi adresseerimisotsust. Ühe testimine ei ütle teise kohta midagi.

Kontrollige nii seda, mida klient teatab, kui ka seda, millist perekonda päring tegelikult kasutas, sest hostinimi võib tagastada mõlemat tüüpi vastuseid.

Kaks perekonda, kaks erinevat teed

Operatsioonisüsteem hoiab iga aadressiperekonna kohta marsruutimistabelit. IPv4 jaoks vaikemarsruudi paigaldamine ei paigalda seda IPv6 jaoks, ja IPv4 kaudu kättesaadav tunneli lõpp-punkt ei ütle midagi selle kohta, kas IPv6 liiklus sinna siseneb. Kui tunnelis ei ole IPv6 vaikemarsruuti, kasutab host seda IPv6 teed, mis tal on, ja see on sageli füüsiline link. Rakenduse vaatepunktist on ühendus lihtsalt otsene.

Hostinimi, mis tagastab nii A- kui ka AAAA-kirjed, teeb selle nägemise raskemaks, sest rakendused võivad perekondi erinevas järjekorras proovida. Õnnestunud päring ei tõesta, millist teed see läks. Kasutage testi, mis nimetab perekonda, mida see proovis.

Serverini jõudmine ei ole liikluse kandmine

Teenusepakkujad kasutavad väljendit IPv6 tugi mitme erineva võimekuse kohta. Lõpp-punkt võib vastu võtta ühenduse IPv6 kaudu, samal ajal kui tunnel kannab endiselt ainult IPv4. Tunnel võib kanda IPv6 sisemisi pakette, samal ajal kui väline transport jääb IPv4. Või võib klient IPv6 täielikult blokeerida, et midagi ei pääseks tunnelist välja. Need on kolm erinevat käitumist ja leht, mis ütleb ainult IPv6 on toetatud, ei erista neid.

Küsige, millist neist disain vajab. Võrk, mis peab jõudma ainult IPv6 teenusteni, vajab kandmist. Võrk, mis peab takistama otsest IPv6 liiklust, vajab blokeerimist või täielikku kandmist, mitte silti turunduslehel.

Valige kandmise ja blokeerimise vahel

Kandmine tähendab, et tunnelil on IPv6 aadress, sees vaikemarsruut ja poliitika, mis lubab liiklust mõlemas otsas. Blokeerimine tähendab, et klient peatab teadlikult IPv6 tunnelist väljumise, mis on turvaline ja kasutu IPv6 sihtkohtadeni jõudmiseks. Mõlemad on õiguspärased; kumbki ei ole vaikeväärtus, mida võib eeldada. Valige esmalt nõue, seejärel kontrollige, kas klient seda tõesti rakendab.

Ainult IPv4 külalisvõrk ei saa IPv6 teed proovida, seega seal tehtud test ei ütle koduvõrgu kohta midagi, kus mõlemad perekonnad olemas on. Testige seal, kus asjaomast perekonda tegelikult pakutakse.

Ohutuslüliti vajab sama katvust

Ohutuslüliti, mis katab ainult IPv4, jätab teise perekonna vabaks otse välja minema, ja see on täpselt see leke, mida see pidi takistama. Vaadake üle selle reeglid mõlema perekonna ja üleminekhetkede jaoks, kui tunnel tõuseb või langeb. IPv6 süsteemitüleselt väljalülitamine ei ole asendus: see võib rikkuda mitteseotud teenuseid ja peidab kliendipoliitika probleemi masinatülese muudatuse taha.

Hoidke DNS sellest kõigest eraldi. DNS puudutab seda, kes päringule vastab ja kuidas päring liigub; järgneval rakendusühendusel on oma marsruut. Üks võib olla õige, samal ajal kui teine ei ole, ja nende koos diagnoosimine annab segaseid järeldusi.

Kirjutage üles, millist perekonda iga test proovis ja millist võimekust klient väidab. See faktipaar vastab küsimusele, millele tugisilt kunagi ei vasta.