ترافیک IPv6 که از VPN عبور می‌کند: مسیر نشت‌کننده را پیدا کنید

دو صفحه آزمایش با هم اختلاف دارند: یکی نشانی ارائه‌دهنده را از درون تونل گزارش می‌کند، دومی پیشوند خانه شما را گزارش می‌کند، و نتیجه آشکار این است که VPN نشت می‌کند. این نتیجه یک گام را جا می‌اندازد، چون دو گزارش دو تصمیم مسیریابی متفاوت را به کار گرفتند و فقط یکی از آنها باید وارد تونل می‌شد. شکاف معمولاً واقعی است و مسئله پوشش است، نه تونل خراب. سه پرسش آن را روشن می‌کند: کدام جریان واقعاً بیرون رفت، هسته کدام مسیر را برای آن انتخاب کرد، و مشتری چه رفتاری را در نظر داشت.

به همین ترتیب کار کنید. پاسخ دادن بی‌ترتیب بحث طولانی درباره معیوب بودن مشتری می‌سازد، در حالی که پاسخ واقعی این است که هرگز مسیری برای IPv6 نصب نشد.

کدام جریان واقعاً بیرون رفت، و روی کدام کارت شبکه

با آزمایشی آغاز کنید که خانواده استفاده‌شده را نام می‌برد، سپس برنامه، شبکه دسترسی، نمایه فعال و اینکه آیا اتصال اصلاً IPv6 ارائه می‌کند را بنویسید. این چهار واقعیت دو اجرا را قابل مقایسه می‌کند، و چهارمی را مردم فراموش می‌کنند: شبکه‌ای بدون پیشوند v6 نمی‌تواند v6 نشت کند، و شبکه‌ای که بعداً یکی اضافه می‌کند پاسخ را عوض می‌کند.

برای هر خانواده یک درخواست بفرستید، نه اینکه صفحه را بار کنید و نتیجه‌اش را بخوانید. یک صفحه می‌تواند منابع v6 و v4 را با هم بیامیزد، یک فرایند پس‌زمینه می‌تواند متفاوت از زبانه پیش روی شما رفتار کند، و پاسخی که در حافظه نهان مانده می‌تواند بیش از تغییری که می‌خواهید آزمایش کنید دوام بیاورد. مقصد آزمون را ثابت کنید و بنویسید، تا اجرای تکراری همان چیز را اندازه بگیرد.

خواندن مسیری که هسته انتخاب کرد

جدول مسیریابی به پرسشی پاسخ می‌دهد که مرورگر نمی‌تواند. از سیستم بپرسید یک مقصد مشخص به کجا می‌رود، و هم قواعد سیاست و هم مسیر پیش‌فرض قابل‌مشاهده را وارد کنید، چون هر یک می‌تواند آن را نادیده بگیرد:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

پیشوند خاص‌تر دلیل معمول این است که یک مقصد بیرون تونل می‌ماند در حالی که بقیه درون آن هستند، و یک قاعده سیاست می‌تواند همین کار را با اولویتی بالاتر از هر مسیر انجام دهد. سنجه را هم بخوانید، چون دو ورودی برای یک پیشوند بر پایه سنجه تعیین می‌شوند نه ترتیبشان روی صفحه. در Windows فهرست معادل Get-NetRoute -AddressFamily IPv6 است که بر پایه سنجه مرتب شده تا با ترتیب تصمیم بخواند. قاعده‌ای که در جدول درست به نظر می‌رسد باز هم می‌تواند به قاعده سیاستی با شماره کمتر ببازد، از این رو فهرست قاعده‌ها در همان دم با فهرست مسیرها می‌آید.

سیاست IPv6 مشتری از کجا می‌آید

مشتری می‌تواند برای این ساخته شود که v6 را از تونل بگذراند، آن را رد کند، یا استثنایی نام‌دار را مجاز بداند، و این سه قصد سه نتیجه درست متفاوت می‌دهند. پیش از آنکه مشاهده‌ای را نشت بنامید، نمایه و مستندات خود مشتری را بخوانید، چون مشتری‌ای که v6 را مسدود می‌کند در حالی که سیستم عامل هنوز کشف همسایه را روی پیوند فیزیکی می‌فرستد، همان‌گونه که طراحی شده رفتار می‌کند.

برنامه‌ای که آگاهانه از تونل کنار گذاشته شده، موردی متفاوت از خانواده‌ای است که تونل هرگز آن را حمل نکرد. اولی تصمیمی درباره یک برنامه است، دومی شکافی در پوشش، و ترمیم بر همان اساس تفاوت دارد. پیش از جست‌وجوی مسیری که هرگز نباید وجود می‌داشت، فهرست برنامه‌های کنارگذاشته مشتری را بخوانید.

مشاهده باریک، وقتی جدول اختلاف دارد

وقتی جست‌وجوی مسیر مبهم است، یک مشاهده رابط روی میزبان می‌تواند آن را روشن کند، اما تنها اگر به سوی پرسش نشانه رفته باشد. ترافیک به خود نقطه پایانی VPN طبق طراحی از کارت فیزیکی می‌گذرد؛ مهم این است که آیا جریان برنامه، که نشانی‌اش کاملاً جای دیگری است، آنجا هم دیده می‌شود. ضبط را به مقصد آزمون محدود کنید، نه اینکه همه چیز را جمع کنید.

ضبط گسترده ترافیک شخصی بسیار بیشتری از آنچه یک پرسش می‌خواهد آشکار می‌کند. همچنین کم‌روشن‌تر پاسخ می‌دهد، چون جریانی که برایتان مهم است در جوی از اتصال‌های بی‌ربط دفن شده می‌رسد. به مقصد آزمون‌شده محدود کنید، پس از چند بسته متوقف شوید و ضبط را پاک کنید.

سه راه برای بستن شکاف

خانواده را از تونل بگذرانید، وقتی تونل نمی‌تواند حملش کند در مشتری مسدودش کنید، یا استثنایی آگاهانه با مالک و تاریخ بازبینی ثبت کنید. هر یک قابل دفاع است، و تنها چیز غیرقابل‌دفاع این است که انتخاب را تلویحی رها کنید، چون انتخاب تلویحی همان چیزی است که نشت هست. اگر تونل هیچ خروجی v6 نداشته باشد، رد کردن v6 در مشتری هم صادقانه است و هم قابل آزمون. مهم این است که انتخاب جایی نوشته شود که نفر بعدی پیدایش کند، نه اینکه شش ماه بعد از رفتار استنباط شود.

بررسی را پس از اتصال دوباره و پس از جابه‌جایی میان شبکه‌ها تکرار کنید، چون مسیری که برای پیوند پیشین نصب شده ممکن است از تغییر جان سالم ببرد. سپس مقصد، مسیر انتخاب‌شده، سیاست مشتری و خانواده‌ای که آزمون به کار برد را ثبت کنید، تا نفر بعدی تصمیم را بخواند نه اینکه دوباره استخراجش کند.RFC 7359 نشت دوپشته را مسئله طراحی می‌داند نه باگ، و همان مرجعی است که وقتی کسی ادعا می‌کند تونل v4 کارآمد همه چیز را پوشش می‌دهد باید به آن ارجاع داد.