Pila biko VPNa: bezeroak aukeratzen du helbide-familia, ez zuk

Tunela martxan dago, IPv4 guneak kargatzen dira, eta ostalari-izen batek denbora-muga gainditzen du. Berehalako ondorioa VPNa hondatuta edo kredentzialak oker daudela da, eta normalean ez da bietako bat ere egia. Izenak IPv4 helbide bat eta IPv6 helbide bat itzuli zituen, aplikazioak bat aukeratu zuen, eta hautagai horietako batek soilik zuen bide erabilgarri bat. Bezeroak hartu zuen hautatzeko erabakia; tunelak ez zuen estali hark aukeratua.

Aukera ez da estalduraren promesa

Helbide-hautaketa lehenetsiak, RFC 6724-n deskribatua, ostalariak iturri eta helmuga bikote zein nahiago duen erabakitzen du bat baino gehiago eskuragarri daudenean. Happy Eyeballs-ek konexio-estrategia gehitzen du gainean: bi familiekin hasten ditu saioak eta lehenengo erantzuten duena gordetzen du, erabiltzaileak familia hondatu bat iraungitzeko itxaron ez dezan.

Bi mekanismoetako batek ere ez du biderik sortzen. Zure tunelak IPv4 soilik garraiatzen badu, AAAA hautagaia helmuga zilegi bat da oraindik, bezeroak proba dezakeena, eta hutsegitea karga geldo gisa agertzen da, ez errore gisa, nabigatzailea atzera egin duelako. Erabiltzaileak gune geldo bat salatzen du, ez hondatu bat, eta laguntza-txartelak lausotasun hori heredatzen du. Familia finko batekin erreproduzitu eta txostena zehatza bihurtzen da.

Atzera-egite hori da sintoma aplikazioen artean koherentea ez izatearen arrazoia. Nabigatzaile batek atzerapena ezkutatzen du; familia finkoko komando-lerroko bezero batek porrot erreala berehala erakusten dizu.

Aurkitu eskaerak benetan erabili zuen familia

Hasi izenetik, ez tunelatik. Galdetu bi erregistro motak eta idatzi zer itzuli zen:

dig +short A example.com
dig +short AAAA example.com
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://example.com
curl -6 -sS -o /dev/null -w '%{http_code}\n' https://example.com

v4 eskaerak arrakasta badu eta v6 eskaerak huts egiten badu, arazoa arazketa egin dezakezun moduan erreproduzitu duzu. Biak shell-etik arrakasta badute eta nabigatzaileak huts egiten jarraitzen badu, begiratu aplikazioaren berezko ebazlea edo cachean gordetako erantzun bat tunela ukitu aurretik.

Gorde familia eta helmuga zure oharretan. Gunea VPN bidez ez dela kargatzen dioen txartela ezin du inork egiaztatu, eta AAAA-k huts egiten duela eta A-k funtzionatzen duela dioen txartelak bide zehatz bat seinalatzen du.

Egiaztatu familia horren bidea

Huts egiten duen familiarentzat, galdetu nukleoari zein bide erabiliko lukeen eta alderatu tunelaren konfiguratutako helbideekin. Linux-en, ip -6 route get komandoak helmugarako hautatuko litzatekeen interfazea eta iturburua erakusten ditu.

Ondoren egiaztatu tunela bera. WireGuard pareek baimendutako IP zerrenda bat daramate, eta 0.0.0.0/0 sarrera batek ez du ezer esaten IPv6ri buruz. Parearen zerrendak IPv6 aurrizkirik ez badu, bezeroak ez du arrazoirik AAAA trafikoa tunelera bidaltzeko, eta paketea ostalariak bestela egingo lukeen bidetik irteten da.

Suhormen arauek eta NAT politikak familia bakoitzeko egiaztapen bera merezi dute. IPv4rako idatzitako arau batek ez du IPv6 estaltzen plataformarako batean ere, eta hori da familia batek funtzionatzea eta besteak ez duen arrazoi ohikoena.

Ez desgaitu IPv6 pantaila-argazkia errazteko

IPv6 sistema osoan desgaitzeak sintoma desagertaraziko du eta diagnostikorik gabe utziko zaitu. IPv6 bakarrik den edozein helmuga ere hausten du, eta hurrengo aplikaziorako akats bera ezkutatzen du. Makina batek benetan IPv6 erabili behar ez badu, jabea eta proba dituen politika deliberatua da. Istripu baten erdian desgaitzea ez da horietako bat ere.

Erabaki bezeroak familiarekin zer egin behar duen eta konfiguratu esplizituki: eraman tunelaren bidez, edo blokeatu modu sostengatu batean, hautaketak inoiz hautagai iristezinik eskaini ez dezan. Biak dira diseinu zilegiak. Desgaitze globala ez da horietako bat, ez delako diseinua batere.

Zer jarri txartelean

Idatzi lau gauza: ostalari-izena, huts egin zuen familia, nukleoak aukeratutako bidea eta familiaren berariazko eskaera baten emaitza. Multzo hori nahikoa da beste norbaitek hutsa erreproduzi dezan, bi bidetatik zein esan nahi zenuen asmatu gabe.

RFC 6724ren helbide-hautaketa arauek azaltzen dute zergatik hobetsi zuen bezeroak hobetsi zuen hautagaia, eta RFC 8305ek atzerapena ezkutatu zuen lasterketa-jokaera azaltzen du. Horietako batek ere ez dizu paketerik bideratuko, eta hori da tunelak egin behar duen zatia.