למה כתובת ה-IPv6 שלכם משתנה בזמן שה-VPN נשאר פעיל

שני צילומי מסך בהפרש של שעה מראים כתובות מקור IPv6 שונות, והקריאה המתבקשת היא שהמנהרה דלפה או התחברה מחדש. בדרך כלל לא קרה אף אחד מהשניים. המארח משתמש בכתובות זמניות, תכונת פרטיות של מערכת ההפעלה שמסובבת את מזהה הממשק לפי טיימר. ההשוואה נראתה מכרעת רק מפני שהניחה שדה שלא היה יציב מעולם.

מה כתובת זמנית באמת מסובבת

כתובת זמנית נבנית מקידומת הממשק בתוספת מזהה שהמארח משנה, והיא נושאת תוחלת חיים מועדפת ותקפה. לפני שתוחלת החיים התקפה פגה, המארח יוצר מחליף, כך ששתי התחברויות יכולות לצאת ממקורות שונים כדין. כתובת הקישור המקומי והקידומת עצמה נשארות במקומן, וכך הרשת עדיין מזהה את המכונה.

שום דבר בסיבוב הזה לא הופך חשבון, קוקי או דפוס גלישה לאנונימיים. לאתר שרוצה לזהות אתכם יש קוקיז, התחברויות וטביעות אצבע, וכתובת מקור משתנה בקושי נספרת מולם. הסיבוב משנה שדה אחד בכותרת החבילה, ושדה זה מעולם לא היה המזהה היחיד בנתיב.

האתר רואה כתובת אחת, המארח מחזיק כמה

שרת רושם את מקור הבקשה שקיבל, ולא יותר. המארח עשוי להחזיק כמה כתובות עם היקפים ותוחלות חיים שונים, ומי מהן מנצחת תלוי בכללי בחירת הכתובת ובאל היעד. קריאת הערך של האתר ככתובת המכונה היא המקום שבו הבלבול הזה מתחיל. מארח אחד יכול להיראות כשני מחשבים לשני אתרים באותו רגע, פשוט מפני שכל התחברות בחרה כתובת אחרת.

הביטו בממשק בזמן בדיקה עם ip -6 addr show dev eth0: כמה כתובות עם תוחלות החיים שלהן אומרות שהסיבוב קיים לפי התכנון. אחר כך שאלו את הגרעין באיזה מסלול ישתמש עם ip -6 route get 2001:db8:10::5, שמדפיס את ההתקן ואת המקור המועדף לאל היעד הזה.

השוו קידומת, ממשק ומסלול, לא את המחרוזת

בבדיקת VPN השאלה היא אם החבילה יצאה דרך המנהרה, וזו שאלה של ניתוב ומדיניות. כתובת המקור היא תחליף חלש לכך: כתובת שמסתובבת בממשק המנהרה עדיין נמצאת במנהרה. מנהרה שמתחברת מחדש מזיזה בדרך כלל את הקידומת או את ההתקן, והשינויים האלה נראים לעין בלי לקרוא את הכתובת המלאה.

לכן השוו את המסלול שנבחר, את הממשק שהחבילה יצאה דרכו ואת הקידומת שהיא נשאה. שלושת אלה נשארים יציבים מספיק בין הרצות, וכל אחד מהם אומר משהו אחר כשהוא משתנה.

שינוי חשוב כשהקידומת משתנה, כשהממשק משתנה, או כשהמסלול אל היעד מפסיק להשתמש במנהרה. שינוי רק במזהה הממשק, עם אותה קידומת ואותו התקן, הוא התנהגות פרטיות שפועלת כמתוכנן. אם רק המזהה זז, הבדיקה מדדה את טיימר הפרטיות ולא את הכיסוי. רשמו איזה מהשלושה זז לפני שאתם מאשימים את המנהרה.

אל תשביתו IPv6 כדי שצילומי המסך יתאימו

כיבוי IPv6 גורם לבדיקות חוזרות להתאים, והוא גם מסיר משפחת כתובות שלמה מהרשת שהמנהרה שלכם אמורה לכסות. כשהמדיניות היא להעביר IPv6, השבתתו מסתירה פער כיסוי במקום לסגור אותו.

אם המדיניות היא לחסום IPv6 עד שיתמוך בו, חסמו אותו בכוונה ורשמו את ההחלטה. המנהל הבא צריך לראות את ההבדל בין חסימה מתועדת לבין מחסנית מושבתת.

מה לתעד, ומה בדיקה אחת יכולה להוכיח

תעדו את הקידומת, את שם הממשק, את המסלול שנבחר, את היעד ואת חתימת הזמן, ולצידם את הכתובת המלאה. מפרט הכתובות הזמניות מסביר את תוחלות החיים שמניעות את הסיבוב, ולכן הכתובת המלאה היא השדה הכי פחות יציב ברשומה. התאמה של שניים משלושת השדות היציבים בין הרצות היא ראיה חזקה יותר מכל התאמת כתובת בודדת.

בדיקה אחת היא תצפית אחת על בקשה אחת. הרשומה היא מה שהופך את התצפית הבאה להשוואה. שמרו את שתיהן, והפער הבא יעלה מבט אחד במקום אחר צהריים.