Slökkva á IPv6 til að laga VPN-leka? Ákveðið frekar stefnuna

Vistfang úr IPv6-bilinu birtist á prófunarsíðu, göngin bera það greinilega ekki, og vinsælasta ráðið á internetinu er að slökkva á IPv6 alls staðar. Þessi skipun þaggar vissulega í spjaldið. Hún fjarlægir líka samskiptareglur sem aðgangsnetið kann að reiða sig á, og hún skilur þig eftir án hugmyndar um hvort vistfangið var raunverulegur leki, link-local tengiviðmótsvistfang eða leysir sem sinnir sínu starfi. Þrjú skilyrði ráða réttri stjórnun, og aðeins eitt þeirra leiðir til lokunar.

Greinið hvað tólið mældi í raun

Algengasta falska viðvörunin er link-local vistfang, sem byrjar á fe80: og er til á hverju IPv6-færu tengiviðmóti hvort sem vélin nær internetinu um IPv6 eða ekki. Það birtist í tengiviðmótslistum og í sumum forritagreiningum, og segir ekkert um feril umferðarinnar.

Önnur falska viðvörunin er einstakt staðbundið vistfang í fc00::/7, sem er einkabil notað innan nets. Tól sem prentar hvert vistfang sem hýsillinn hefur mun gjarnan telja það upp við hlið hins opinbera. Sá sem les fljótt kallar það leka og eyðir svo klukkustund í vandamál sem er ekki til.

Þriðja er alls ekki falsk viðvörun. Hnattrænt vistfang sem nær internetinu utan ganganna er raunverulegi lekinn, og það er þess virði að mæla það áður en nokkuð er ákveðið:

ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co

Ef fyrsta skipunin prentar hnattrænt vistfang og sú þriðja skilar opinberu IPv6-vistfangi sem er ekki vistfang ganganna, þá hefur þú raunverulega leið utan ganganna. Ef fyrsta prentar ekkert nema link-local færslur var aldrei leki til að laga.

Þrjú skilyrði ráða stjórnuninni

Ákvörðunin er ekki "IPv6 gott" eða "IPv6 slæmt". Hún snýst um hvaða af þremur aðstæðum þú ert í, og hver hefur aðra rétta svörun með öðrum kostnaði ef þú ferð rangt.

Fyrsta röðin er það sem fólk á venjulega við, og hún er lögmæt. Biðlari sem útganga hans styður ekki IPv6 ætti ekki að hleypa eigin IPv6-umferð hýsilsins út í kyrrþey, því það er skjalfesti tvíþátta leki. Tilgangurinn er að loka henni sem yfirlýstri stefnu, ekki slökkva á samskiptareglum í kjarnanum. Sýnileg niðurstaða er sú sama og aðeins er hægt að endurskoða aðra þeirra síðar.

Þriðja röðin er þar sem almenna ráðið verður virkilega skaðlegt. Farsímafyrirtæki og sumar heimanet keyra IPv6-only net með þýðingu fyrir IPv4-áfangastaði. Fjarlægðu IPv6 þar og þú fjarlægir eina flutninginn sem netið býður, sem veldur miklu verri truflun en sú sem þú varst að greina.

Ef útgangan hefur ekki IPv6, lokaðu henni viljandi

Veldu eigin kerfi biðlarans, því það gildir einmitt meðan göngin eru uppi og hverfur þegar þau falla. OpenVPN hefur valkost fyrir þetta, og iptables hefur sambærilega reglu fyrir aðra biðlara:

block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachable

Tilskipunin á heima í sniðinu; reglan á heima í eldvegg sem þú getur farið yfir og fjarlægt. Báðar mistakast lokað, sem er það sem þú vilt, og báðar eru sýnilegar í stillingardiffi, sem kjarnasysctl grafinn í ræsingarskripti er ekki.

Skrifaðu niður hvers vegna hún er þar. Lokunarreglu án athugasemdar fjarlægir næsta einstaklingur sem þarf IPv6 fyrir eitthvað ótengt, og þá snýr lekinn aftur í kyrrþey.

Ef útgangan ber IPv6, leiðbeindu henni og prófaðu báðar fjölskyldur

Að bera IPv6 er betra svar þegar þjónninn styður það, og það er ekki miklu erfiðara. Krafan er að gangaviðmótið hafi vistfang í þeirri fjölskyldu og að sjálfgefna leiðin fyrir hana vísi inn í göngin frekar en út úr líkamlega viðmótinu:

ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.co

Leiðarleitin er afgerandi prófið: ef hún nefnir gangaviðmótið er IPv6-umferð borin. Tvö curl-köll staðfesta svo hvað hver fjölskylda sér, og að bera þau saman er leiðin til að sanna að báðar leiðir fari nú út um sömu útgönguna.

Stoppaðu ekki við árangursríka tengingu. Tengdu göngin aftur og athugaðu á ný, því ýtt IPv6-leið getur tapast við enduruppsetningu ef þjónninn sendir hana aðeins í upphafsstillingunni. Athugaðu svo einn útilokaðan áfangastað, því split-tunnel reglur eru þar sem fjölskyldurnar tvær greinir oftast á.

Ef aðgangsnetið er aðeins IPv6, láttu það í friði

Sum net bjóða aðeins IPv6 og gera ráð fyrir að tækið nái IPv4-þjónustum gegnum þýðingarkerfi hjá símafyrirtækinu. Að slökkva á IPv6 á slíkri vél er ekki öryggisbót; það fjarlægir einu leiðina að hverju sem er. Það er truflun sem þú veldur sjálfum þér fyrir prófunarniðurstöðu sem enginn þurfti.

Einkennið á að gera þetta rangt er sérstakt og óþægilegt: göngin virðast byggjast, nafnaleysing virkar, og ekkert hleðst. Ef þú sérð það eftir IPv6-breytingu skaltu strax setja stillinguna aftur og halda greiningunni áfram annars staðar.

Hvað sem þú velur, hafðu ákvörðunina skýra í sniðinu eða eldveggnum, tengdu hana við það sem útgangan styður í raun, og skráðu tvíþátta hegðunina sem RFC 7359 tvíþátta umræðan lýsir. Yfirlýst lokun er stefna. Slökkt samskiptareglur eru krókaleið sem enginn getur endurskoðað, og frá prófunarsíðunni líta þær eins út.