A VPN-ed szállít IPv6-ot, vagy csak eléri a szervert?

Egy csak IPv4-re vonatkozó szivárgásteszt tisztán jön vissza, egy IPv6-teszt megmutatja az otthoni címedet, és az alagút névlegesen csatlakozik. Ez a kombináció gyakori a kettős stackes hálózatokon, mert a VPN az egyik család útvonalát megváltoztatta, a másikat pedig békén hagyta. A külső alagút és a benne lévő forgalom két külön címzési döntés. Az egyik tesztelése semmit sem mond a másikról.

Ellenőrizd, mit jelent a kliens, és azt is, melyik családot használta a kérés valójában, mert egy hosztnév mindkét típusú választ visszaadhatja.

Két család, két különböző útvonal

Az operációs rendszer címzési családonként útvonaltáblát tart. Az IPv4 alapértelmezett útvonalának telepítése nem telepít egyet az IPv6 számára, és az IPv4-en elérhető alagútvégpont semmit sem mond arról, hogy belép-e abba IPv6-forgalom. Ha az alagúton keresztül nincs IPv6 alapértelmezett útvonal, a hoszt a rendelkezésére álló IPv6-útvonalat használja, ami gyakran a fizikai kapcsolat. Az alkalmazás szempontjából a kapcsolat egyszerűen közvetlen.

Az a hosztnév, amely A és AAAA rekordot is visszaad, nehezebbé teszi ennek észlelését, mert az alkalmazások különböző sorrendben próbálhatják a családokat. A sikeres kérés nem bizonyítja, melyik útvonalat választotta. Használj olyan tesztet, amely megnevezi az általa kipróbált családot.

A szerver elérése nem a forgalom szállítása

A szolgáltatók az IPv6-támogatás kifejezést több különböző képességre használják. A végpont fogadhat IPv6-on keresztüli kapcsolatot, miközben az alagút továbbra is csak IPv4-et szállít. Az alagút szállíthat IPv6 belső csomagokat, miközben a külső szállítás IPv4 marad. Vagy a kliens teljesen blokkolhatja az IPv6-ot, hogy semmi ne szökjön ki az alagúton kívülre. Ez három különböző viselkedés, és egy oldal, amely csak azt mondja, hogy támogatott az IPv6, nem különbözteti meg őket.

Kérdezd meg, melyikre van szüksége a tervezésnek. Egy hálózatnak, amelynek csak IPv6-os szolgáltatásokat kell elérnie, szállításra van szüksége. Egy hálózatnak, amelynek meg kell akadályoznia a közvetlen IPv6-forgalmat, blokkolásra vagy teljes szállításra van szüksége, nem egy marketingoldalon lévő címkére.

Válassz a szállítás és a blokkolás között

A szállítás azt jelenti, hogy az alagútnak van IPv6-címe, benne alapértelmezett útvonala, és olyan házirendje, amely mindkét végén engedi a forgalmat. A blokkolás azt jelenti, hogy a kliens szándékosan megállítja az IPv6-ot abban, hogy kilépjen az alagúton kívülre, ami biztonságos és haszontalan az IPv6-célok eléréséhez. Mindkettő jogos; egyik sem olyan alapértelmezés, amelyet feltételezhetsz. Először válaszd ki a követelményt, aztán ellenőrizd, hogy a kliens valóban megvalósítja-e.

Egy csak IPv4-es vendéghálózat nem tud IPv6-útvonalat gyakorolni, ezért az ott végzett teszt semmit sem mond arról az otthoni hálózatról, ahol mindkét család létezik. Ott tesztelj, ahol a szóban forgó család valóban elérhető.

A biztonsági kapcsolónak ugyanaz a lefedettség kell

Egy csak IPv4-et lefedő biztonsági kapcsoló szabadon hagyja a másik családot közvetlenül kijutni, és pontosan ez az a szivárgás, amelyet meg kellett akadályoznia. Nézd át a szabályait mindkét családra és az átmeneti pillanatokra, miközben az alagút fel- vagy leépül. Az IPv6 rendszerszintű kikapcsolása nem helyettesítő megoldás: tönkretehet független szolgáltatásokat, és egy kliensházirend-problémát rejt el egy gépszintű változtatás mögé.

Tartsd a DNS-t mindettől külön. A DNS arról szól, ki válaszol a lekérdezésre, és hogyan utazik a lekérdezés; az azt követő alkalmazáskapcsolatnak saját útvonala van. Az egyik helyes lehet, miközben a másik nem, és együttes diagnosztizálásuk zavaros következtetéseket ad.

Jegyezd fel, melyik családot gyakorolta az egyes tesztek, és milyen képességet állít a kliens. Ez a két tény válaszol arra a kérdésre, amelyre egy támogatási címke soha nem fog válaszolni.