Globalna IPv6 adresa ne znači da promet zaobilazi tunel

Testna stranica prikazuje globalnu IPv6 adresu i zaključak odmah skače na promet koji zaobilazi VPN. Taj zaključak traži dvije činjenice koje stranica nikada nije pokazala: koja aplikacija je poslala zahtjev i koju je rutu kernel odabrao za njega. Opseg adrese opisuje dokle se adresa smije rutirati. On ne govori ništa o tome kuda je otišao baš ovaj paket.

Opseg i uloga su različita pitanja s različitim dokazima.

Opseg odgovara ko je može rutirati, a ne ko je rutira

Globalne unicast adrese su u principu rutabilne na javnom internetu, jedinstvene lokalne adrese namijenjene su internoj topologiji, a lokalne adrese veze postoje samo na jednoj vezi. To su svojstva bloka adresa. Da li paket do određenog odredišta izlazi kroz tunel, odlučuju tablica rutiranja i politika vezana za sučelje, a oboje može pokazivati u bilo koju stranu.

Adresa može biti globalnog opsega i ipak se prenositi unutar tunela, jer je tunel put, a ne plan adresa.

Čitajte sve adrese na sučelju, a ne web test

Izlaz sučelja pokazuje nekoliko adresa odjednom: vanjsku adresu na fizičkoj vezi, adresu tunela i lokalnu adresu veze za svako sučelje. Web test pokazuje samo izvornu adresu jednog zahtjeva. Počnite s ip -6 addr show i zabilježite koje sučelje posjeduje svaku adresu i koju dužinu prefiksa nosi, pa pitajte koje je sučelje zahtjev stvarno koristio.

Usporedite to s ip -6 route get 2606:4700::1111, koji ispisuje sučelje i izvor koje bi kernel odabrao za odredište.

Kako globalni prefiks završi unutar tunela

Dva dizajna daju globalnu adresu na sučelju tunela. Pružatelj može delegirati prefiks koji se rutira klijentu kroz tunel, što adresu čini globalnom dok je put i dalje tunel. Ili klijent zadržava svoju izvornu globalnu adresu i tunel je nosi kao unutarnji promet dok vanjsko zaglavlje obavlja posao. Nijedan dizajn ne zahtijeva prevođenje, a zabuna počinje tamo gdje se navike IPv4 NAT-a uzimaju kao zahtjev IPv6.

Pitajte administratora koji od dva dizajna vrijedi. Odgovor određuje što poslužitelj na drugoj strani vidi kao vaš izvor.

Zašto adresa koja izgleda privatno nije signal povjerenja

Jedinstvena lokalna adresa kaže da ju je operator namijenio internom rutiranju, i ništa više. Ona ne dokazuje da je uređaj pod upravljanjem, da je softver pouzdan ili da je promet šifriran. Obrnuto, globalna adresa ne dokazuje da je promet pobjegao iz tunela, a upravo ta pretpostavka je razlog postojanja ovog članka.

Procijenite povjerenje po politici, autentikaciji i šifriranju. Izgled adrese je slaba heuristika koja pada u oba smjera.

Testirajte rutu i politiku kao dva pitanja

Prvo, ruta: pokrenite curl -6 https://ifconfig.me kroz tunel i ponovo preko fizičkog sučelja, pa usporedite odgovore. Drugo, politika: potvrdite koji prefiks tunel stvarno nosi i ima li druga strana povratnu rutu za njega. Uspješan zahtjev prema javnom sjedištu ne dokazuje nijedno, jer je to odredište dostupno sa svake strane. Koristite interno odredište za test politike.

Zabilježite izvornu adresu koju je svaki put proizveo. To je dokaz koji tvrdnja o zaobilaženju zaista treba.