כתובת IPv6 גלובלית אינה אומרת שהתעבורה עוקפת את המנהרה
ההיקף אומר עד לאן ניתן לנתב כתובת, לא לאן החבילה הזו הלכה. קראו את הממשק, את המסלול שנבחר ואת קידומת המנהרה לפני שמסיקים.
דף בדיקה מדווח על כתובת IPv6 גלובלית והמסקנה קופצת מיד לתעבורה שעוקפת את ה-VPN. מסקנה כזו זקוקה לשתי עובדות שהדף מעולם לא הראה: איזו אפליקציה שלחה את הבקשה, ואיזה מסלול בחר הליבה עבורה. היקף הכתובת מתאר עד לאן ניתן לנתב כתובת. הוא אינו אומר דבר על לאן החבילה המסוימת הזו הלכה.
היקף ותפקיד הם שאלות שונות עם ראיות שונות.
ההיקף עונה מי רשאי לנתב אותה, לא מי עושה זאת
כתובות unicast גלובליות ניתנות לניתוב באינטרנט הציבורי באופן עקרוני, כתובות מקומיות ייחודיות מיועדות לטופולוגיה פנימית, וכתובות מקומיות לקישור קיימות רק בקישור אחד. אלה תכונות של גוש הכתובות. אם חבילה ליעד נתון יוצאת דרך המנהרה קובעים טבלת הניתוב והמדיניות הצמודה לממשק, ושתיהן יכולות להצביע לכל כיוון.
כתובת יכולה להיות בעלת היקף גלובלי ועדיין להינשא בתוך מנהרה, כי המנהרה היא נתיב ולא תוכנית כתובות.
קראו את כל הכתובות בממשק, לא את בדיקת האינטרנט
פלט הממשק מציג כמה כתובות בבת אחת: הכתובת החיצונית בקישור הפיזי, כתובת המנהרה, וכתובת מקומית לקישור לכל ממשק. בדיקת האינטרנט מציגה רק את כתובת המקור של בקשה אחת. התחילו עם ip -6 addr show וציינו איזה ממשק מחזיק בכל כתובת ואיזו אורך קידומת היא נושאת, ואז שאלו איזה ממשק הבקשה השתמשה בו בפועל.
השוו זאת אל ip -6 route get 2606:4700::1111, שמדפיס את הממשק ואת המקור שהליבה הייתה בוחרת עבור יעד.
איך קידומת גלובלית מגיעה לתוך מנהרה
שני עיצובים יוצרים כתובת גלובלית בממשק מנהרה. הספק יכול להאציל קידומת שמנותבת ללקוח דרך המנהרה, מה שהופך את הכתובת לגלובלית בעוד הנתיב נשאר המנהרה. או שהלקוח שומר על הכתובת הגלובלית המקורית שלו והמנהרה נושאת אותה כתעבורה פנימית בעוד הכותרת החיצונית עושה את העבודה. אף אחד מהעיצובים אינו דורש תרגום, והבלבול מתחיל במקום שבו הרגלי IPv4 NAT נתפסים כדרישה של IPv6.
שאלו את המנהל איזה משני אלה חל. התשובה קובעת מה שרת בצד השני רואה כמקור שלכם.
למה כתובת שנראית פרטית אינה אות אמון
כתובת מקומית ייחודית אומרת שהמפעיל מייעד אותה לניתוב פנימי, ולא יותר. היא אינה מוכיחה שהמכשיר מנוהל, שהתוכנה מהימנה או שהתעבורה מוצפנת. לעומת זאת, כתובת גלובלית אינה מוכיחה שהתעבורה ברחה מהמנהרה, וזו בדיוק ההנחה שכל המאמר הזה קיים כדי לפרק.
שפטו אמון לפי מדיניות, אימות והצפנה. מראה הכתובת הוא יוריסטיקה חלשה שנכשלת בשני הכיוונים.
בדקו מסלול ומדיניות כשתי שאלות
ראשית המסלול: הריצו curl -6 https://ifconfig.me דרך המנהרה ושוב דרך הממשק הפיזי, והשוו את התשובות. שנית המדיניות: אשרו איזו קידומת המנהרה נושאת בפועל והאם לצד השני יש מסלול חזרה עבורה. בקשה מוצלחת לאתר ציבורי אינה מוכיחה אף אחד מאלה, כי אפשר להגיע ליעד הזה מכל מקום. השתמשו ביעד פנימי לבדיקת המדיניות.
רשמו את כתובת המקור שכל נתיב יצר. אלה הראיות שטענה על עקיפה באמת זקוקה להן.