Hogyan tesztelje az IPv6-ot VPN-en keresztül saját erőforrásával

Egy nyilvános IP-ellenőrző oldal egyetlen kérdésre válaszol, és általában nem arra, amelyet feltett. Megmondja a kilépési címet, amelyet az oldal látott; nem mondja meg, hogy működik-e az IPv6-útvonal az alagúton át, hogy a hoszt az IPv6-ot választotta-e vagy visszaesett, és azt sem, hogy egy kizárt alkalmazás más útvonalat vett-e. A saját felügyelt, engedélyezett erőforrás helyesen válaszol a szűkebb kérdésre, mert mindkét végét látja. Az alábbi útmutató arról szól, hogy védhető következtetésre jusson, nem arról, hogy zöld eredményt kapjon.

1. lépés: mondja ki, melyik IPv6-útvonalat teszteli

Mondja ki egy mondatban. Az alagútszerver saját IPv6-címére küldött kérés az alagutat teszteli; a kilépésen túli hosztra küldött kérés a kilépés IPv6-kimenetét teszteli; egy privát IPv6-címre küldött kérés belső útvonalat tesztel.

Ez három különböző állítás, és egyetlen sikeres kérés nem tudja mindhármat alátámasztani. Válassza azt, amelyik a döntéséhez számít, és írja le, mielőtt bármit futtat. Ha az aggodalom az, hogy szivárog-e az IPv6 az alagút körül, a kérdés a hoszt útvonalválasztásáról szól, nem a kilépés elérhetőségéről. Ha az aggodalom az, hogy a túlsó fél elér-e egy belső szolgáltatást, a kilépés lényegtelen.

2. lépés: erősítse meg, hogy a hoszt ezt az útvonalat választja

ip -6 route get 2001:db8:1::10 kiírja az útvonalat, a forráscímet és azt az interfészt, amelyet a kernel használna, és a teszt többi része ezen a tényen alapul.

Egy interfész létezése nem ugyanaz, mint a kiválasztása. A kétvermes hosztoknak prioritási táblájuk van, és a Linuxon a /etc/gai.conf megváltoztathatja, melyik család nyer egy mindkettőre feloldódó névnél.

3. lépés: legitim célt és nevet használjon

Ha HTTPS-t tesztel, használja azt a hosztnevet, amelyre a tanúsítványt kiállították, és tartsa bekapcsolva az ellenőrzést; ha szó szerinti címre vált, hogy a teszt átmenjen, pontosan azt az ellenőrzést kapcsolja ki, amely bizonyítja, hogy a szándékolt hosztot érte el. A saját felügyelt diagnosztikai szolgáltatás, amely ismert néven érvényes tanúsítvánnyal válaszol, a legtisztább cél. Szerveroldali naplósort is ad az összevetéshez, amit egy harmadik féltől származó ellenőrző soha nem fog megadni.

Futtassa a kérést olyan formában, amely megmutatja a használt címet: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. A -6 kikényszeríti a családot, és így választja szét azt, hogy az IPv6 nem működik, attól, hogy az IPv6 nem kapott elsőbbséget.

Tiszta elérhetőségi teszthez, ahol az ICMPv6 engedélyezett, a ping -6 -c 3 2001:db8:1::10 elegendő. Bizonyítja az útvonalat és semmit fölötte.

4. lépés: vesse össze a két végét

Amikor mindkét végéhez hozzáfér, futtassa a tcpdump -ni any ip6 and host 2001:db8:1::10 parancsot a kliensen és a megfelelőjét az erőforráson, időbélyegekkel, és erősítse meg, hogy ugyanaz a folyam mindkettőn megjelenik. Ez teszi a valószínű eredményt bizonyítékká: a kliens nézete önmagában nem tudja megkülönböztetni az erőforrás válaszát egy közbeeső valami válaszától. Tartsa a rögzítést szűken egyetlen célra, hogy a kimenet olvasható maradjon, és senki nem kapcsolódó munkamenete ne kerüljön a fájlba.

Ismételje meg a tesztet újracsatlakozás után, ha az aggodalom az, hogy a szabályzat túlél-e egy újraindítást. A csatlakozáskor egyszer alkalmazott útvonal- és tűzfalállapot eltérhet az újra alkalmazott állapottól, és a különbség csak a második kapcsolatnál mutatkozik meg.

Tesztelje külön a hibaesetet, ha szüksége van rá. Az alagút, amely lecsúszáskor blokkolja az IPv6-ot, és az, amely engedi szivárogni, különböző tervek, és csak az egyik igazolható sikeres kéréssel.

5. lépés: írja le, mit nem bizonyított a teszt

Az ötödik lépés annak leírása, mit nem bizonyított a teszt, és éppen ez a rész marad el. Egy privát végpont sikeres tesztje nem bizonyítja a nyilvános IPv6-kimenetet, nem bizonyítja a DNS viselkedését, és nem fedi le azokat az alkalmazásokat, amelyeket kizárt az alagútból. Mindegyikük saját célt és saját megfigyelést igényel. Egy jegyzet, amely szerint az IPv6 működik egy hosztra küldött egyetlen kérés után, nem megállapítás; időbélyeggel ellátott találgatás.

A megőrzésre érdemes feljegyzés rövid: a cél, a név, a hoszt által választott forráscím, a megfigyelt távoli cím és az idő. Az RFC 7359 arról szól, hogyan kell tesztelni, hogy egy releváns IPv6-útvonal valóban használható-e, és ez az a szabvány, amelyhez ez az útmutató egyszerűbb eszközökkel közelít. Ha a következtetéshez nyilvános ellenőrző kell, hogy igaz legyen, a teszt nem volt elég konkrét.