Globaali IPv6-osoite ei tarkoita, että liikenne ohittaa tunnelin

Testisivu ilmoittaa globaalista IPv6-osoitteesta, ja johtopäätös hyppää suoraan liikenteeseen, joka ohittaa VPN:n. Tämä johtopäätös tarvitsee kaksi tosiasiaa, joita sivu ei koskaan näyttänyt: mikä sovellus teki pyynnön ja minkä reitin ydin valitsi sille. Osoitteen laajuus kuvaa, miten kauas osoite voidaan reitittää. Se ei kerro mitään siitä, minne juuri tämä paketti meni.

Laajuus ja rooli ovat eri kysymyksiä, joilla on eri todisteet.

Laajuus vastaa siihen, kuka saa reitittää sen, ei siihen kuka sen tekee

Globaalit unicast-osoitteet ovat periaatteessa reititettävissä julkisessa internetissä, ainutkertaiset paikalliset osoitteet on tarkoitettu sisäiseen topologiaan ja linkin paikalliset osoitteet ovat olemassa vain yhdellä linkillä. Nämä ovat osoitelohkon ominaisuuksia. Sen, lähteekö paketti tiettyyn kohteeseen tunnelin kautta, ratkaisevat reititystaulu ja liitäntään kytketty käytäntö, ja molemmat voivat osoittaa kumpaan tahansa suuntaan.

Osoite voi olla laajuudeltaan globaali ja silti kulkea tunnelin sisällä, koska tunneli on polku eikä osoitesuunnitelma.

Lue kaikki liitännän osoitteet, älä verkkotestiä

Liitännän tuloste näyttää useita osoitteita kerralla: ulomman osoitteen fyysisellä linkillä, tunnelin osoitteen ja linkin paikallisen osoitteen jokaista liitäntää kohti. Verkkotesti näyttää vain yhden pyynnön lähdeosoitteen. Aloita komennolla ip -6 addr show ja kirjaa, mikä liitäntä omistaa minkäkin osoitteen ja mitä etuliitteen pituutta se kantaa, ja kysy sitten, mitä liitäntää pyyntö tosiasiassa käytti.

Vertaa tätä komentoon ip -6 route get 2606:4700::1111, joka tulostaa liitännän ja lähteen, jonka ydin valitsisi kohdetta varten.

Miten globaali etuliite päätyy tunnelin sisään

Kaksi mallia tuottaa globaalin osoitteen tunneliliitännälle. Palveluntarjoaja voi delegoida etuliitteen, joka reititetään asiakkaalle tunnelin kautta, mikä tekee osoitteesta globaalin, kun polku on edelleen tunneli. Tai asiakas säilyttää oman globaalin osoitteensa ja tunneli kuljettaa sitä sisäisenä liikenteenä ulomman otsakkeen tehdessä työn. Kumpikaan malli ei vaadi käännöstä, ja hämmennys alkaa siitä, että IPv4 NAT:n tapoja pidetään IPv6:n vaatimuksena.

Kysy ylläpitäjältä, kumpi kahdesta pätee. Vastaus määrittää, mitä toisella puolella oleva palvelin näkee lähteenäsi.

Miksi yksityiseltä näyttävä osoite ei ole luottamuksen merkki

Ainutkertainen paikallinen osoite kertoo, että operaattori tarkoittaa sen sisäiseen reititykseen, eikä enempää. Se ei todista, että laite on hallittu, ohjelmisto luotettavaa tai liikenne salattua. Päinvastoin, globaali osoite ei todista, että liikenne on paennut tunnelista, ja juuri tämän oletuksen koko artikkeli on olemassa purkaakseen.

Arvioi luottamusta käytännön, todennuksen ja salauksen perusteella. Osoitteen ulkomuoto on heikko heuristiikka, joka epäonnistuu molempiin suuntiin.

Testaa reitti ja käytäntö kahtena kysymyksenä

Ensinnä reitti: aja curl -6 https://ifconfig.me tunnelin kautta ja vielä fyysisen liitännän kautta, ja vertaa vastauksia. Toiseksi käytäntö: vahvista, mitä etuliitettä tunneli tosiasiassa kantaa ja onko toisella puolella paluureitti sille. Onnistunut pyyntö julkiselle sivustolle ei todista kumpaakaan, koska kohde on saavutettavissa mistä tahansa. Käytä sisäistä kohdetta käytäntötestiin.

Kirjaa lähdeosoite, jonka kukin polku tuotti. Juuri tätä todistetta väite ohituksesta tarvitsee.