Alamat IPv6 global tidak berarti lalu lintas melewati terowongan

Halaman uji melaporkan alamat IPv6 global dan kesimpulannya langsung melompat ke lalu lintas yang melewati VPN. Kesimpulan itu membutuhkan dua fakta yang tidak pernah ditampilkan halaman: aplikasi mana yang membuat permintaan, dan rute mana yang dipilih kernel untuknya. Cakupan alamat menjelaskan seberapa jauh sebuah alamat dapat dirutekan. Itu tidak mengatakan apa pun tentang ke mana paket tertentu ini pergi.

Cakupan dan peran adalah pertanyaan berbeda dengan bukti berbeda.

Cakupan menjawab siapa yang boleh merutekannya, bukan siapa yang melakukannya

Alamat unicast global pada prinsipnya dapat dirutekan di internet publik, alamat lokal unik diperuntukkan bagi topologi internal, dan alamat lokal tautan hanya ada pada satu tautan. Itu sifat dari blok alamat. Apakah paket ke tujuan tertentu keluar melalui terowongan ditentukan oleh tabel perutean dan kebijakan yang melekat pada antarmuka, dan keduanya dapat menunjuk ke arah mana pun.

Sebuah alamat dapat bercakupan global dan tetap dibawa di dalam terowongan, karena terowongan adalah jalur, bukan rencana alamat.

Baca semua alamat pada antarmuka, bukan uji web

Keluaran antarmuka menampilkan beberapa alamat sekaligus: alamat luar pada tautan fisik, alamat terowongan, dan satu alamat lokal tautan per antarmuka. Uji web hanya menampilkan alamat sumber satu permintaan. Mulailah dengan ip -6 addr show dan catat antarmuka mana yang memiliki setiap alamat dan berapa panjang prefiks yang dibawanya, lalu tanyakan antarmuka mana yang benar-benar dipakai permintaan itu.

Bandingkan dengan ip -6 route get 2606:4700::1111, yang mencetak antarmuka dan sumber yang akan dipilih kernel untuk suatu tujuan.

Bagaimana prefiks global berakhir di dalam terowongan

Dua rancangan menghasilkan alamat global pada antarmuka terowongan. Penyedia dapat mendelegasikan prefiks yang dirutekan ke klien melalui terowongan, yang membuat alamat menjadi global sementara jalurnya tetap terowongan. Atau klien mempertahankan alamat global aslinya dan terowongan membawanya sebagai lalu lintas dalam sementara tajuk luar melakukan pekerjaannya. Tidak ada rancangan yang memerlukan penerjemahan, dan kebingungan dimulai ketika kebiasaan IPv4 NAT dianggap sebagai syarat IPv6.

Tanyakan kepada administrator mana dari keduanya yang berlaku. Jawabannya menentukan apa yang dilihat server di sisi lain sebagai sumber Anda.

Mengapa alamat yang tampak privat bukan sinyal kepercayaan

Alamat lokal unik mengatakan bahwa operator memaksudkannya untuk perutean internal, dan tidak lebih. Itu tidak membuktikan perangkat dikelola, perangkat lunaknya tepercaya, atau lalu lintasnya terenkripsi. Sebaliknya, alamat global tidak membuktikan lalu lintas lolos dari terowongan, dan justru asumsi itulah yang hendak dibongkar seluruh artikel ini.

Nilai kepercayaan dari kebijakan, autentikasi, dan enkripsi. Tampilan alamat adalah heuristik lemah yang gagal di kedua arah.

Uji rute dan kebijakan sebagai dua pertanyaan

Pertama rute: jalankan curl -6 https://ifconfig.me melalui terowongan dan lagi melalui antarmuka fisik, lalu bandingkan jawabannya. Kedua kebijakan: pastikan prefiks mana yang benar-benar dibawa terowongan dan apakah sisi lain memiliki rute balik untuknya. Permintaan yang berhasil ke situs publik tidak membuktikan keduanya, karena tujuan itu dapat dijangkau dari mana saja. Gunakan tujuan internal untuk uji kebijakan.

Catat alamat sumber yang dihasilkan setiap jalur. Itulah bukti yang benar-benar dibutuhkan klaim tentang pelewatan.