A globális IPv6-cím nem azt jelenti, hogy a forgalom megkerüli az alagutat

Egy tesztoldal globális IPv6-címet jelent, és a következtetés azonnal arra a forgalomra ugrik, amely megkerüli a VPN-t. Ehhez a következtetéshez két tény kell, amelyet az oldal soha nem mutatott meg: melyik alkalmazás indította a kérést, és melyik útvonalat választotta neki a kernel. A cím hatóköre azt írja le, milyen messzire irányítható egy cím. Semmit nem mond arról, hová ment éppen ez a csomag.

A hatókör és a szerep különböző kérdések, különböző bizonyítékokkal.

A hatókör arra válaszol, ki irányíthatja, nem arra, ki irányítja

A globális unicast címek elvben irányíthatók a nyilvános interneten, az egyedi helyi címek belső topológiára valók, a kapcsolat-helyi címek pedig csak egy kapcsolaton léteznek. Ezek a címblokk tulajdonságai. Hogy egy adott cél felé menő csomag elhagyja-e az alagutat, azt az útválasztási tábla és az interfészhez kapcsolt házirend dönti el, és mindkettő bármelyik irányba mutathat.

Egy cím lehet globális hatókörű, és mégis alagúton belül továbbítható, mert az alagút útvonal, nem címterv.

Az interfész összes címét olvassa el, ne a webtesztet

Az interfész kimenete egyszerre több címet mutat: a külső címet a fizikai kapcsolaton, az alagút címét és egy kapcsolat-helyi címet interfészenként. A webteszt csak egyetlen kérés forráscímét mutatja. Kezdje a ip -6 addr show paranccsal, és jegyezze fel, melyik interfészhez tartozik az egyes címek, és milyen prefixhosszt hordoz, majd kérdezze meg, melyik interfészt használta a kérés valójában.

Hasonlítsa össze ezt a ip -6 route get 2606:4700::1111 paranccsal, amely kiírja az interfészt és a forrást, amelyet a kernel egy célhoz választana.

Hogyan kerül egy globális prefix az alagút belsejébe

Két tervezés hoz létre globális címet egy alagút-interfészen. A szolgáltató delegálhat egy prefixet, amelyet az alagúton keresztül a klienshez irányítanak, ami globálissá teszi a címet, miközben az útvonal továbbra is az alagút. Vagy a kliens megtartja saját globális címét, és az alagút belső forgalomként szállítja, miközben a külső fejléc végzi a munkát. Egyik tervezés sem igényel fordítást, és a zavar ott kezdődik, ahol az IPv4 NAT szokásait IPv6-követelménynek tekintik.

Kérdezze meg az adminisztrátort, melyik érvényes. A válasz meghatározza, mit lát a túloldali szerver az Ön forrásaként.

Miért nem bizalmi jelzés egy privátnak látszó cím

Az egyedi helyi cím azt mondja, hogy az üzemeltető belső útválasztásra szánja, és semmi többet. Nem bizonyítja, hogy az eszköz felügyelt, a szoftver megbízható vagy a forgalom titkosított. Fordítva, a globális cím nem bizonyítja, hogy a forgalom kiszökött az alagútból, és éppen ezt a feltevést hivatott lebontani ez az egész cikk.

A bizalmat házirend, hitelesítés és titkosítás alapján ítélje meg. A cím külleme gyenge heurisztika, amely mindkét irányban csődöt mond.

Tesztelje az útvonalat és a házirendet két kérdésként

Először az útvonal: futtassa a curl -6 https://ifconfig.me parancsot az alagúton, majd a fizikai interfészen is, és hasonlítsa össze a válaszokat. Másodszor a házirend: erősítse meg, melyik prefixet hordozza valójában az alagút, és van-e a túloldalnak visszairányú útvonala hozzá. A nyilvános webhelyre indított sikeres kérés egyiket sem bizonyítja, mert az a cél bárhonnan elérhető. A házirendteszthez használjon belső célt.

Rögzítse a forráscímet, amelyet az egyes útvonalak létrehoztak. Ez az a bizonyíték, amelyre a megkerülésről szóló állításnak valóban szüksége van.