Cara menguji IPv6 melalui VPN dengan sumber daya milik Anda sendiri

Halaman pemeriksa IP publik menjawab satu pertanyaan, dan biasanya bukan pertanyaan yang Anda ajukan. Halaman itu memberi tahu alamat keluar yang diamatinya; ia tidak memberi tahu apakah rute IPv6 melalui terowongan berfungsi, apakah host lebih memilih IPv6 atau mundur, atau apakah aplikasi yang dikecualikan mengambil jalur lain. Sumber daya resmi yang Anda kendalikan menjawab pertanyaan yang lebih sempit dengan benar, karena Anda melihat kedua ujungnya. Panduan di bawah ini tentang mendapatkan kesimpulan yang dapat Anda pertahankan, bukan tentang mendapatkan hasil hijau.

Langkah 1: nyatakan rute IPv6 mana yang Anda uji

Nyatakan dalam satu kalimat. Permintaan ke alamat IPv6 milik server terowongan menguji terowongan; permintaan ke host di luar keluar menguji kaluaran IPv6 keluar; permintaan ke alamat IPv6 privat menguji rute internal.

Itu tiga klaim berbeda dan satu permintaan yang berhasil tidak dapat mendukung semuanya. Pilih yang penting bagi keputusan di hadapan Anda dan tuliskan sebelum menjalankan apa pun. Jika kekhawatirannya adalah apakah IPv6 bocor di sekitar terowongan, pertanyaannya adalah tentang pemilihan rute oleh host, bukan tentang keterjangkauan keluar. Jika kekhawatirannya adalah apakah sisi jauh dapat menjangkau layanan internal, keluar tidak relevan.

Langkah 2: pastikan host memilih rute itu

ip -6 route get 2001:db8:1::10 mencetak rute, alamat sumber, dan antarmuka yang akan dipakai kernel, dan fakta itulah yang menjadi dasar sisa pengujian.

Antarmuka yang ada tidak sama dengan antarmuka yang dipilih. Host dua tumpukan memiliki tabel prioritas, dan /etc/gai.conf di Linux dapat mengubah keluarga mana yang menang untuk nama yang diselesaikan ke keduanya.

Langkah 3: gunakan tujuan dan nama yang sah

Jika Anda menguji HTTPS, gunakan nama host yang menjadi tujuan penerbitan sertifikat dan biarkan verifikasi menyala; beralih ke alamat literal agar pengujian lolos justru mematikan pemeriksaan yang membuktikan Anda mencapai host yang dimaksud. Layanan diagnostik yang Anda kendalikan, yang menjawab pada nama yang dikenal dengan sertifikat valid, adalah target paling bersih. Layanan itu juga memberi Anda baris log sisi server untuk dikorelasikan, yang tidak akan pernah diberikan pemeriksa pihak ketiga.

Jalankan permintaan dalam bentuk yang menunjukkan alamat yang dipakainya: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Opsi -6 memaksa keluarga alamat, dan begitulah Anda memisahkan IPv6 tidak berfungsi dari IPv6 tidak dipilih.

Untuk pemeriksaan keterjangkauan murni di mana ICMPv6 diizinkan, ping -6 -c 3 2001:db8:1::10 sudah cukup. Itu membuktikan jalurnya dan tidak ada yang di atasnya.

Langkah 4: korelasikan kedua ujung

Ketika Anda memiliki akses ke kedua ujung, jalankan tcpdump -ni any ip6 and host 2001:db8:1::10 di klien dan yang setara di sumber daya, dengan stempel waktu, dan pastikan aliran yang sama muncul di keduanya. Itulah yang mengubah hasil yang masuk akal menjadi bukti: pandangan klien saja tidak dapat membedakan balasan dari sumber daya dengan balasan dari sesuatu di antaranya. Jaga penangkapan tetap sempit pada satu tujuan agar keluarannya tetap terbaca dan sesi orang lain yang tidak terkait tidak ikut masuk ke berkas.

Ulangi pengujian setelah koneksi ulang jika kekhawatirannya adalah apakah kebijakan bertahan melewati mulai ulang. Status rute dan firewall yang diterapkan sekali saat koneksi dapat berbeda dari status yang diterapkan ulang, dan perbedaannya hanya muncul pada koneksi kedua.

Uji kasus kegagalan secara terpisah jika Anda membutuhkannya. Terowongan yang memblokir IPv6 saat terputus dan yang membocorkannya adalah desain berbeda, dan hanya satu yang dapat diverifikasi dengan permintaan berhasil.

Langkah 5: catat apa yang tidak dibuktikan pengujian

Langkah lima adalah mencatat apa yang tidak dibuktikan pengujian, dan itulah bagian yang sering ditinggalkan. Pengujian titik akhir privat yang berhasil tidak membuktikan kaluaran IPv6 publik, tidak membuktikan perilaku DNS, dan tidak mencakup aplikasi yang Anda kecualikan dari terowongan. Masing-masing memerlukan tujuan sendiri dan pengamatan sendiri. Catatan yang menyatakan IPv6 berfungsi setelah satu permintaan ke satu host bukan temuan; itu dugaan dengan stempel waktu.

Catatan yang layak disimpan itu singkat: tujuannya, namanya, alamat sumber yang dipilih host, alamat jarak jauh yang diamati, dan waktunya. RFC 7359 membahas cara menguji bahwa rute IPv6 yang relevan benar-benar dapat digunakan, dan itulah standar yang didekati panduan ini dengan alat yang lebih sederhana. Jika kesimpulannya memerlukan pemeriksa publik agar benar, pengujiannya tidak cukup spesifik.