A súa VPN transporta IPv6 ou só chega ao servidor?

Unha proba de fugas só para IPv4 volve limpa, unha proba de IPv6 amosa o seu enderezo de casa e o túnel está conectado de forma nominal. Esa combinación é habitual en redes de dobre pila, porque a VPN cambiou a ruta dunha familia e deixou a outra tranquila. O túnel exterior e o tráfico que hai dentro son dúas decisións de direccionamento separadas. Probar unha delas non di nada da outra.

Comprobe tanto o que informa o cliente como que familia usou realmente a petición, porque un nome de host pode devolver ambos os tipos de resposta.

Dúas familias, dúas rutas distintas

O sistema operativo mantén unha táboa de enrutamento por cada familia de enderezos. Instalar unha ruta predeterminada para IPv4 non instala unha para IPv6, e un extremo de túnel alcanzable por IPv4 non di nada sobre se o tráfico IPv6 entra nel. Cando non existe unha ruta predeterminada IPv6 polo túnel, o host usa a ruta IPv6 que teña, que a miúdo é a ligazón física. Desde o punto de vista da aplicación, a conexión é simplemente directa.

Un nome de host que devolve rexistros A e AAAA á vez fai que isto sexa máis difícil de ver, porque as aplicacións poden probar as familias en ordes distintos. Unha petición que ten éxito non demostra que ruta tomou. Use unha proba que nomee a familia que exercitou.

Chegar ao servidor non é transportar o tráfico

Os provedores usan a frase compatibilidade con IPv6 para varias capacidades distintas. O extremo pode aceptar unha conexión por IPv6 mentres o túnel aínda só transporta IPv4. O túnel pode transportar paquetes internos IPv6 mentres o transporte exterior segue sendo IPv4. Ou o cliente pode bloquear IPv6 por completo para que nada escape fóra do túnel. Son tres comportamentos distintos, e unha páxina que só di que se admite IPv6 non os distingue.

Pregunte cal necesita o deseño. Unha rede que debe chegar a servizos só IPv6 necesita transporte. Unha rede que debe impedir o tráfico IPv6 directo necesita bloqueo ou transporte completo, non unha etiqueta nunha páxina de mercadotecnia.

Escolla entre transportar e bloquear

Transportar significa que o túnel ten un enderezo IPv6, unha ruta predeterminada dentro e unha política que permite o tráfico nos dous extremos. Bloquear significa que o cliente detén deliberadamente que IPv6 saia fóra do túnel, o cal é seguro e inútil para chegar a destinos IPv6. Ambas son lexítimas; ningunha é un valor predeterminado que poida supor. Escolla primeiro o requisito e despois verifique que o cliente o implementa de verdade.

Unha rede de convidados só IPv4 non pode exercitar unha ruta IPv6, así que unha proba feita alí non di nada da rede doméstica onde existen ambas as familias. Probe onde a familia relevante se ofrece de verdade.

O interruptor de seguridade necesita a mesma cobertura

Un interruptor de seguridade que só cobre IPv4 deixa a outra familia libre para saír directamente, que é exactamente a fuga que debía impedir. Revise as súas regras para ambas as familias e para os momentos de transición, mentres o túnel sobe ou baixa. Apagar IPv6 en todo o sistema non é un substituto: pode romper servizos non relacionados e agocha un problema de política do cliente detrás dun cambio en toda a máquina.

Manteña o DNS separado de todo isto. O DNS ten que ver con quen responde a consulta e como viaxa a consulta; a conexión de aplicación que segue ten a súa propia ruta. Unha pode ser correcta mentres a outra non o é, e diagnosticalas xuntas produce conclusións confusas.

Anote que familia exercitou cada proba e que capacidade afirma o cliente. Ese par de feitos responde a pregunta que unha etiqueta de soporte nunca responderá.