Por que cambia o seu enderezo IPv6 mentres a VPN segue activa

Dúas capturas de pantalla separadas por unha hora mostran enderezos de orixe IPv6 distintos, e a lectura obvia é que o túnel filtrou ou se reconectou. Normalmente non ocorreu ningunha das dúas cousas. O host usa enderezos temporais, unha función de privacidade do sistema operativo que rota o identificador da interface cun temporizador. A comparación parecía concluínte só porque daba por feito un campo que nunca foi estable.

Que rota realmente un enderezo temporal

Un enderezo temporal constrúese co prefixo da interface máis un identificador que o host cambia, e leva unha vida útil preferida e unha válida. Antes de que a vida útil válida expire, o host xera un substituto, así que dúas conexións poden saír lexitimamente desde orixes distintas. O enderezo de enlace local e o propio prefixo quedan no seu sitio, e así a rede segue recoñecendo a máquina.

Nada nesa rotación fai anónimos unha conta, unha cookie ou un patrón de navegación. Un sitio que queira recoñecelo ten cookies, inicios de sesión e pegadas, e un enderezo de orixe cambiante apenas conta fronte a iso. A rotación cambia un campo na cabeceira do paquete, e ese campo nunca foi o único identificador do camiño.

O sitio web ve un enderezo, o host ten varios

Un servidor anota a orixe da petición que recibiu, nada máis. O host pode ter varios enderezos con ámbitos e vidas útiles diferentes, e cal gaña depende das regras de selección de enderezos e do destino. Ler o valor do sitio web como o enderezo da máquina é onde comeza esta confusión. Un só host pode parecer dúas máquinas para dous sitios no mesmo momento, simplemente porque cada conexión escolleu un enderezo distinto.

Mire a interface durante unha proba con ip -6 addr show dev eth0: varios enderezos coas súas vidas útiles significan que a rotación está presente por deseño. Logo pregunte ao núcleo que ruta usaría con ip -6 route get 2001:db8:10::5, que imprime o dispositivo e a orixe preferida para ese destino.

Compare prefixo, interface e ruta, non a cadea

Nas probas de VPN a pregunta é se o paquete saíu polo túnel, e iso é unha cuestión de enrutamento e política. O enderezo de orixe é un indicador feble: un enderezo que rota na interface do túnel segue estando no túnel. Un túnel que se reconecta normalmente despraza o prefixo ou o dispositivo, e eses cambios vense sen ler o enderezo completo.

Así que compare a ruta seleccionada, a interface pola que saíu o paquete e o prefixo que levaba. Eses tres mantéñense abondo estables entre execucións, e cada un significa algo distinto cando cambia.

Un cambio importa cando cambia o prefixo, cando cambia a interface ou cando a ruta cara ao destino deixa de usar o túnel. Un cambio só no identificador da interface, co mesmo prefixo e o mesmo dispositivo, é privacidade funcionando como se pretendía. Se só se moveu o identificador, a proba mediu o temporizador de privacidade en lugar da cobertura. Anote cal dos tres se moveu antes de culpar o túnel.

Non desactive IPv6 para que as capturas coincidan

Apagar IPv6 fai que as probas repetidas coincidan, e tamén quita toda unha familia de enderezos da rede que o seu túnel debería cubrir. Cando a política é transportar IPv6, desactivalo oculta un oco de cobertura en lugar de pechalo.

Se a política é bloquear IPv6 ata que estea soportado, bloquéxeo a propósito e anote a decisión. O seguinte administrador precisa ver a diferenza entre un bloqueo documentado e unha pila desactivada.

Que rexistrar e que pode demostrar unha soa proba

Rexistre o prefixo, o nome da interface e a ruta seleccionada, o destino e a marca de tempo, co enderezo completo ao lado. A especificación dos enderezos temporais explica as vidas útiles que moven a rotación, e por iso o enderezo completo é o campo menos estable da nota. Que dous dos tres campos estables coincidan entre execucións é unha evidencia máis forte que calquera coincidencia dun só enderezo.

Unha soa proba é unha observación dunha soa petición. A nota é o que converte a seguinte observación nunha comparación. Garde as dúas, e a próxima discrepancia custará unha ollada en lugar dunha tarde.