IPv6-ferkear bûten de VPN om: de lekkende rûte fine

Twa testpagina’s binne it net iens: de iene meldt it adres fan de provider troch de tunnel, de twadde meldt dyn thúspréfiks, en de foar de hân lizzende konklúzje is dat de VPN lekt. Dy konklúzje slacht in stap oer, want de twa rapporten brûkten twa ferskillende routingbesluten en mar ien fan beide soe de tunnel yn gean. It gat is meastentiids echt, en it is in dekkingsprobleem en gjin stikkene tunnel. Trije fragen meitsje it dúdlik: hokker stream der eins fuortgie, hokker rûte de kernel dêrfoar keas en hokker gedrach de klant bedoelde.

Wurkje yn dy folchoarder. Se bûten folchoarder beäntwurdzje jout in lange diskusje oer de fraach oft de klant defekt is, wylst it echte antwurd is dat der nea in IPv6-rûte ynstallearre is.

Hokker stream der eins fuortgie, en fia hokker adapter

Begjin mei in test dy’t de brûkte famylje neamt, en skriuw dan de applikaasje, it tagongsnetwurk, it jildende profyl en oft de ferbining oeral IPv6 biedt, op. Dy fjouwer feiten meitsje twa runs ferlykber, en de fjirde is dy’t minsken ferjitte: in netwurk sûnder v6-préfiks kin gjin v6 lekke, en in netwurk dat letter ien tafoeget feroaret it antwurd.

Stjoer ien fersyk per famylje yn stee fan in pagina te laden en it resultaat te lêzen. Ien pagina kin v6- en v4-boarnen mingen, in eftergrûnproses kin him oars gedrage as it ljepblêd foar dy, en in antwurd út de cache kin de netwurkferoaring oerlibje dy’tsto besykje te testen. Fiksje it bestimming dy’tst testest en skriuw it op, sadat in werhelle run itselde mjit.

De rûte lêze dy’t de kernel keas

De rûtetabel beäntwurdet de fraach dy’t de browser net oan kin. Freegje it systeem wêr’t in beskate bestimming hinne soe, en nim sawol beliedsregels as de sichtbere standert op, want beide kinne it oerskriuwe:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

In spesifiker préfiks is de gewoane reden dat ien bestimming bûten de tunnel bliuwt wylst al it oare binnen bliuwt, en in beliedsregel kin itselde dwaan mei in hegere prioriteit as hokker rûte dan ek. Lês ek de metryske wearde, want twa ynskriuwingen foar itselde préfiks wurde beslein troch de metryske wearde en net troch har folchoarder op it skerm. Under Windows is de lykweardige list Get-NetRoute -AddressFamily IPv6, sortearre op metryske wearde om by de beslisfolchoarder te passen. In regel dy’t der yn de tabel goed útsjocht kin dochs ferlieze fan in beliedsregel mei in leger nûmer, en dêrom heart de regellist yn deselde sike as de rûtelist.

Wêr’t it IPv6-belied fan de klant wei komt

In klant kin boud wêze om v6 troch de tunnel te lieden, om it te wegerjen of om in neamd útsûndering ta te stean, en dy trije bedoelingen jouwe trije ferskillende goede resultaten. Lês it profyl en de dokumintaasje fan de klant sels foardatst in waarnimming in lek neamst, want in klant dy’t v6 blokkearret wylst it bestjoeringssysteem noch hieltiten buormaas-ûntdekking oer de fysike keppeling stjoert, docht him foar sa’t er ûntwurpen is.

In applikaasje dy’t bewust fan de tunnel útsletten is, is in oar gefal as in famylje dy’t de tunnel nea droegen hat. It earste is in beslút oer ien programma, it twadde is in gat yn de dekking, en de reparaasje ferskilt dêrneffens. Lês de list fan útsletten programma’s fan de klant foardatst nei in rûte sykest dy’t nea bestean moatten hie.

Smal waarnimmen, as de tabel it net iens is

As it rûtesykjen dûbelsinnich is, kin ien ynterfacewaarnimming op de host it besljochtsje, mar allinnich as er op de fraach rjochte is. Ferkaer nei it VPN-einpunt sels sil neffens it ûntwerp oer de fysike adapter gean; wat telt is oft de applikaasjestream, dy’t hiel earne oars adressearre is, dêr ek opdûkt. Filterje de opname op de bestimming dy’tst testest yn stee fan alles te sammeljen.

In brede opname bleatst folle mear persoanlik ferkear as de iene fraach freget. Se beäntwurdet de fraach ek minder dúdlik, want de stream dy’t dy oangiet komt begroeven oan yn in stream fan net-relatearre ferbiningen. Filterje op de teste bestimming, stopje nei in hânfol pakketten en smyt de opname fuort.

Trije manieren om it gat te sluten

Lied de famylje troch de tunnel, blokkearje har yn de klant as de tunnel har net drage kin, of registrearje in bewuste útsûndering mei in eigner en in kontrôledatum. Elk is ferdigenber, en it iennige dat net ferdigenber is, is de kar ymplisyt litte, want in ymplisite kar is krekt wat it lek eins is. As de tunnel hielendal gjin v6-útgong hat, is it wegerjen fan v6 yn de klant sawol earlik as testber. Wat telt is dat de kar skreaun is dêr’t de folgjende persoan him fine sil, net ôflaat út gedrach seis moannen letter.

Werhelje de kontrôle nei in werferbining en nei it ferpleatsen tusken netwurken, want in rûte dy’t foar de foarige keppeling ynstallearre is kin de feroaring oerlibje. Skriuw dan de bestimming, de keazen rûte, it klantbelied en de famylje dy’t de test brûkte op, sadat de folgjende persoan in beslút lêst yn stee fan it opnij ôf te lieden. RFC 7359 dokumintearret dual-stack-lekkage as in ûntwerpprobleem en net as in bug, en it is de referinsje om oan te heljen as immen beweart dat in wurkjende v4-tunnel alles dekt.