Miks teie IPv6-aadress muutub, kui VPN jääb tööle

Kaks tund aega hiljem tehtud ekraanipilti näitavad erinevaid IPv6 lähteaadresse ja ilmne tõlgendus on, et tunnel lekkis või ühendus taastus. Tavaliselt ei juhtunud kumbagi. Host kasutab ajutisi aadresse, operatsioonisüsteemi privaatsusfunktsiooni, mis pöörab liidese identifikaatorit taimeri järgi. Võrdlus tundus lõplik ainult seetõttu, et eeldas välja, mis ei olnud kunagi stabiilne.

Mida ajutine aadress tegelikult pöörab

Ajutine aadress koostatakse liidese prefiksist pluss identifikaatorist, mida host muudab, ja sellel on eelistatud ning kehtiv eluiga. Enne kehtiva eluea lõppu loob host asendaja, nii et kaks ühendust võivad seaduslikult väljuda erinevatest allikatest. Lingi-kohalik aadress ja prefiks ise jäävad paigale ning nii tunneb võrk masina endiselt ära.

Miski selles pöörlemises ei tee kontot, küpsist ega sirvimismustrit anonüümseks. Saidil, mis tahab teid ära tunda, on küpsised, sisselogimised ja sõrmejäljed, ning muutuv lähteaadress ei torka nende kõrval peaaegu üldse silma. Pöörlemine muudab paketi päises üht välja ja see väli ei olnud kunagi ainus identifikaator teel.

Veebileht näeb ühte aadressi, host hoiab mitut

Server märgib saadud päringu allika, ei midagi enamat. Host võib hoida mitut erineva ulatuse ja elueaga aadressi ning see, milline võidab, sõltub aadressi valiku reeglitest ja sihtkohast. Veebilehe väärtuse lugemine masina aadressina on selle segaduse algus. Üks host võib kahe saidi jaoks samal hetkel paista kahe masinana, lihtsalt sellepärast, et iga ühendus valis erineva aadressi.

Vaadake testimise ajal liidest käsuga ip -6 addr show dev eth0: mitu aadressi koos eluigadega tähendab, et pöörlemine on projekti järgi olemas. Seejärel küsige tuumalt, millist marsruuti see kasutaks käsuga ip -6 route get 2001:db8:10::5, mis trükib seadme ja selle sihtkoha eelistatud allika.

Võrrelge prefiksi, liidest ja marsruuti, mitte stringi

VPN-i testimisel on küsimus, kas pakett väljus tunnelist, ja see on marsruutimise ja poliitika küsimus. Lähteaadress on selle jaoks nõrk näitaja: tunneliliidesel pöörlev aadress on endiselt tunnelil. Tunnel, mis ühendub uuesti, nihutab tavaliselt hoopis prefiksi või seadme, ja need muutused on nähtavad ilma täisaadressi lugemata.

Seega võrrelge valitud marsruuti, liidest, mille kaudu pakett väljus, ja prefiksi, mida see kandis. Need kolm jäävad käivituste vahel piisavalt stabiilseks ja igaüks tähendab muutumisel midagi muud.

Muudatus on oluline, kui muutub prefiks, kui muutub liides või kui marsruut sihtkohta lakkab tunnelit kasutamast. Muudatus ainult liidese identifikaatoris, sama prefiksi ja sama seadmega, on privaatsuskäitumine, mis töötab nii nagu kavandatud. Kui liikus ainult identifikaator, mõõtis test privaatsustaimerit, mitte katvust. Kirjutage üles, milline kolmest liikus, enne kui tunnelit süüdistate.

Ärge lülitage IPv6 välja, et ekraanipildid klapiksid

IPv6 väljalülitamine teeb korduvad testid ühtseks ja eemaldab ka terve aadressiperekonna võrgust, mida teie tunnel peaks katma. Kui poliitika on IPv6 kandmine, varjab selle väljalülitamine katvuslünka, selle asemel et see sulgeda.

Kui poliitika on IPv6 blokeerimine kuni toetuseni, blokeerige see teadlikult ja kirjutage otsus üles. Järgmine administraator peab nägema erinevust dokumenteeritud blokeeringu ja väljalülitatud virna vahel.

Mida kirja panna ja mida üks test suudab tõestada

Pange kirja prefiks, liidese nimi, valitud marsruut, sihtkoht ja ajatempel koos täisaadressiga nende kõrval. Ajutiste aadresside spetsifikatsioon selgitab eluigasid, mis pöörlemist juhivad, ja seetõttu on täisaadress märkmes kõige vähem stabiilne väli. See, et kaks kolmest stabiilsest väljast käivituste vahel kattuvad, on tugevam tõend kui ükskõik milline üksik aadressi kattuvus.

Üks test on ühe päringu üks vaatlus. Märge on see, mis muudab järgmise vaatluse võrdluseks. Hoidke mõlemat ja järgmine lahknevus maksab pilgu, mitte tervet pärastlõunat.