האם ה-VPN שלכם נושא IPv6, או רק מגיע לשרת?

בדיקת דליפה ל-IPv4 בלבד חוזרת נקייה, בדיקת IPv6 מציגה את כתובת הבית שלכם, והמנהרה מחוברת באופן נומינלי. השילוב הזה נפוץ ברשתות דו-סטאק, מפני שה-VPN שינה את המסלול של משפחה אחת והשאיר את האחרת ללא שינוי. המנהרה החיצונית והתעבורה שבתוכה הן שתי החלטות מיעון נפרדות. בדיקה של אחת מהן לא אומרת דבר על האחרת.

בדקו גם מה הלקוח מדווח וגם איזו משפחה הבקשה השתמשה בה בפועל, מפני ששם מארח יכול להחזיר את שני סוגי התשובות.

שתי משפחות, שני מסלולים שונים

מערכת ההפעלה מחזיקה טבלת ניתוב לכל משפחת כתובות. התקנת מסלול ברירת מחדל ל-IPv4 אינה מתקינה כזה ל-IPv6, ונקודת קצה של מנהרה שנגישה דרך IPv4 אינה אומרת דבר על האם תעבורת IPv6 נכנסת אליה. כשאין מסלול ברירת מחדל של IPv6 דרך המנהרה, המארח משתמש בכל מסלול IPv6 שיש לו, ולעיתים קרובות זהו הקישור הפיזי. מנקודת המבט של היישום, החיבור הוא פשוט ישיר.

שם מארח שמחזיר גם רשומות A וגם AAAA הופך את זה לקשה יותר לראייה, מפני שיישומים עשויים לנסות את המשפחות בסדרים שונים. בקשה שמצליחה אינה מוכיחה איזה מסלול היא לקחה. השתמשו בבדיקה שמציינת את המשפחה שהיא בדקה.

להגיע לשרת אינו לשאת את התעבורה

ספקים משתמשים בביטוי תמיכה ב-IPv6 לכמה יכולות שונות. נקודת הקצה עשויה לקבל חיבור דרך IPv6 בעוד המנהרה עדיין נושאת רק IPv4. המנהרה עשויה לשאת מנות פנימיות של IPv6 בעוד התחבורה החיצונית נשארת IPv4. או שהלקוח עשוי לחסום IPv6 לחלוטין כך שדבר לא יימלט מחוץ למנהרה. אלה שלושה התנהגויות נפרדות, ועמוד שאומר רק IPv6 נתמך אינו מבדיל ביניהן.

שאלו איזו מהן התכנון צריך. רשת שחייבת להגיע לשירותים שקיימים רק ב-IPv6 זקוקה לנשיאה. רשת שחייבת למנוע תעבורת IPv6 ישירה זקוקה לחסימה או לנשיאה מלאה, לא לתווית בעמוד שיווק.

החליטו בין נשיאה לחסימה

נשיאה משמעה שלמנהרה יש כתובת IPv6, מסלול ברירת מחדל בתוכה, ומדיניות שמתירה את התעבורה בשני הקצוות. חסימה משמעה שהלקוח עוצר בכוונה את יציאת IPv6 מחוץ למנהרה, וזה בטוח וחסר תועלת להגעה ליעדי IPv6. שתיהן לגיטימיות; אף אחת מהן אינה ברירת מחדל שאפשר להניח. בחרו קודם את הדרישה ואז ודאו שהלקוח באמת מיישם אותה.

רשת אורחים עם IPv4 בלבד אינה יכולה להפעיל מסלול IPv6, ולכן בדיקה שנעשית שם אינה אומרת דבר על רשת הבית שבה קיימות שתי המשפחות. בדקו במקום שבו המשפחה הרלוונטית מוצעת בפועל.

מתג ההגנה זקוק לאותה כיסוי

מתג הגנה שמכסה רק IPv4 משאיר את המשפחה האחרת חופשייה לצאת ישירות, וזה בדיוק הדליפה שהוא נועד למנוע. עברו על הכללים שלו לשתי המשפחות ולרגעי המעבר, כשהמנהרה עולה או יורדת. כיבוי IPv6 ברמת המערכת אינו תחליף: הוא עלול לשבור שירותים לא קשורים ומסתיר בעיה במדיניות הלקוח מאחורי שינוי ברמת המכונה כולה.

הפרידו את ה-DNS מכל זה. ה-DNS עוסק בשאלה מי עונה לשאילתה ואיך השאילתה נוסעת; לחיבור היישום שאחר כך יש מסלול משלו. אחד יכול להיות נכון בעוד האחר אינו, ואבחון שלהם יחד מייצר מסקנות מבולבלות.

רשמו איזו משפחה כל בדיקה הפעילה ואיזו יכולת הלקוח טוען. צמד העובדות הזה עונה על השאלה שתווית תמיכה לעולם לא תענה עליה.