Un enderezo IPv6 global non significa que o tráfico salte o túnel

Unha páxina de proba informa dun enderezo IPv6 global e a conclusión salta directo a un tráfico que salta a VPN. Esa conclusión necesita dous feitos que a páxina nunca mostrou: que aplicación fixo a petición e que ruta escolleu o núcleo para ela. O alcance do enderezo describe ata onde se pode encamiñar un enderezo. Non di nada sobre a onde foi este paquete concreto.

Alcance e papel son preguntas distintas con probas distintas.

O alcance responde quen pode encamiñalo, non quen o fai

Os enderezos unicast globais son encamiñables na internet pública en principio, os enderezos únicos locais están pensados para topoloxía interna e os enderezos locais de enlace só existen nun enlace. Son propiedades do bloque de enderezos. Se un paquete cara a un destino dado sae polo túnel decídeno a táboa de encamiñamento e a política asociada á interface, e ambas poden apuntar en calquera dirección.

Un enderezo pode ter alcance global e aínda así viaxar dentro dun túnel, porque o túnel é un camiño e non un plan de enderezos.

Le todos os enderezos da interface, non a proba web

A saída da interface mostra varios enderezos á vez: o enderezo exterior no enlace físico, o enderezo do túnel e un enderezo local de enlace por interface. A proba web só mostra o enderezo de orixe dunha petición. Comeza con ip -6 addr show e anota que interface posúe cada enderezo e que lonxitude de prefixo leva, e despois pregunta que interface usou realmente a petición.

Compárao con ip -6 route get 2606:4700::1111, que imprime a interface e a orixe que o núcleo elixiría para un destino.

Como acaba un prefixo global dentro dun túnel

Dous deseños producen un enderezo global nunha interface de túnel. O provedor pode delegar un prefixo encamiñado ao cliente a través do túnel, o que fai global o enderezo mentres o camiño segue a ser o túnel. Ou o cliente conserva o seu enderezo global nativo e o túnel transpórtao como tráfico interior mentres a cabeceira exterior fai o traballo. Ningún dos dous deseños require tradución, e a confusión empeza onde os costumes de IPv4 NAT se toman como un requisito de IPv6.

Pregunta ao administrador cal dos dous se aplica. A resposta determina que ve un servidor da outra banda como a túa orixe.

Por que un enderezo que parece privado non é un sinal de confianza

Un enderezo único local di que o operador o destina a encamiñamento interno, e nada máis. Non demostra que o dispositivo estea xestionado, que o software sexa fiable ou que o tráfico estea cifrado. Ao revés, un enderezo global non demostra que o tráfico escapase do túnel, e esa é xustamente a suposición que todo este artigo existe para desmontar.

Xulga a confianza pola política, a autenticación e o cifrado. A aparencia do enderezo é unha heurística feble que falla nas dúas direccións.

Proba ruta e política como dúas preguntas

Primeiro a ruta: executa curl -6 https://ifconfig.me polo túnel e de novo pola interface física, e compara as respostas. Segundo a política: confirma que prefixo leva realmente o túnel e se a outra banda ten unha ruta de volta para el. Unha petición correcta a un sitio público non demostra ningunha das dúas, porque ese destino é alcanzable desde calquera lugar. Usa un destino interno para a proba de política.

Anota o enderezo de orixe que produciu cada camiño. Esa é a proba que unha afirmación sobre saltar o túnel necesita de verdade.