VPN-нен тыс өтетін IPv6 трафигі: ағып жатқан бағытты табу

Екі сынақ беті келіспейді: біреуі туннель арқылы провайдердің мекенжайын хабарлайды, екіншісі үй префиксіңізді хабарлайды, ал айқын қорытынды — VPN ағып жатыр. Бұл қорытынды бір қадамды өткізіп жібереді, өйткені екі есеп екі түрлі маршруттау шешімін іске қосты, ал олардың тек біреуі ғана туннельге кіруі керек еді. Олқылық әдетте шынайы, және бұл жабын мәселесі, сынған туннель емес. Үш сұрақ оны шешеді: қай ағын шын мәнінде шықты, ядро оған қай бағытты таңдады және клиент қандай мінез-құлықты көздеді.

Осы ретпен жұмыс істеңіз. Оларға ретсіз жауап беру клиент ақаулы ма деген ұзақ пікірталас тудырады, ал шынайы жауап — IPv6 бағыты ешқашан орнатылмаған.

Қай ағын шын мәнінде шықты және қай адаптерде

Пайдаланылған отбасын атайтын сынақтан бастаңыз, содан кейін қолданбаны, кіру желісін, қолданыстағы профильді және қосылымның IPv6 ұсынатынын жазып алыңыз. Осы төрт факт екі жүгірісті салыстыруға болатын етеді, ал төртіншісін адамдар ұмытып кетеді: v6 префиксі жоқ желі v6 ағып кете алмайды, ал кейінірек оны қосатын желі жауапты өзгертеді.

Бетті жүктеп, оның нәтижесін оқудың орнына әр отбасына бір сұрау жіберіңіз. Бір бет v6 және v4 ресурстарын араластыруы мүмкін, фондық процесс алдыңыздағы қойындыдан өзгеше әрекет етуі мүмкін, ал кэштелген жауап сіз тексермек болған желілік өзгерістен ұзағырақ өмір сүруі мүмкін. Тексеретін межелі орынды бекітіп, оны жазып алыңыз, сонда қайталанған жүгіріс сол нәрсені өлшейді.

Ядро таңдаған бағытты оқу

Маршрут кестесі браузер жауап бере алмайтын сұраққа жауап береді. Жүйеден нақтылы межелі орынның қайда баратынын сұраңыз және көрінетін әдепкімен қатар саясат ережелерін де қосыңыз, өйткені екеуі де оны басып озуы мүмкін:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Нақтырақ префикс — бір межелі орын туннельден тыс қалып, қалғанының бәрі ішінде қалуының әдеттегі себебі, ал саясат ережесі кез келген бағыттан жоғары басымдықпен дәл солай жасай алады. Метриканы да оқыңыз, өйткені бір префикстің екі жазбасы экрандағы ретімен емес, метрикамен шешіледі. Windows-та баламалы тізім Get-NetRoute -AddressFamily IPv6, шешім ретіне сай келу үшін метрика бойынша сұрыпталған. Кестеде дұрыс көрінетін ереже де төменірек нөмірлі саясат ережесіне ұтылуы мүмкін, сондықтан ережелер тізімі бағыттар тізімімен бір тыныспен жүреді.

Клиенттің IPv6 саясаты қайдан келеді

Клиент v6-ны туннель арқылы өткізуге, одан бас тартуға немесе аталған ерекшелікке рұқсат беруге құрылуы мүмкін, және бұл үш ниет үш түрлі дұрыс нәтиже береді. Бақылауды ағып кету деп атамас бұрын профильді және клиенттің өз құжаттамасын оқыңыз, өйткені операциялық жүйе физикалық байланыста көрші іздеуін жіберіп жатқанда v6-ны бөгейтін клиент жобаланғандай әрекет етеді.

Туннельден әдейі шығарылған қолданба — туннель ешқашан тасымаған отбасыға қарағанда басқа жағдай. Біріншісі — бір бағдарлама туралы шешім, екіншісі — жабындағы олқылық, ал жөндеу соған сәйкес өзгереді. Ешқашан болмауға тиіс бағытты іздестіруден бұрын клиенттің шығарылған бағдарламалар тізімін оқыңыз.

Тар бақылау, кесте қайшы келгенде

Бағыт іздеу екімәнді болғанда, хосттағы бір интерфейс бақылауы оны шеше алады, бірақ тек сұраққа бағытталған жағдайда. VPN-нің өз соңғы нүктесіне трафик жоба бойынша физикалық адаптерден өтеді; маңыздысы — мүлде басқа жерге мекенжайланған қолданба ағыны да сол жерде көріне ме. Барлығын жинаудың орнына түсірілімді тексеретін межелі орынға сүзгілеңіз.

Кең түсірілім бір сұрақ талап ететіннен әлдеқайда көп жеке трафикті әшкерелейді. Ол сондай-ақ сұраққа анығырақ емес жауап береді, өйткені сізді қызықтыратын ағын байланыссыз қосылымдар ағынына көміліп келеді. Тексерілген межелі орынға сүзгілеңіз, бірнеше пакеттен кейін тоқтаңыз және түсірілімді жойыңыз.

Олқылықты жабу үшін үш жол

Отбасын туннель арқылы өткізіңіз, туннель оны тасымалдай алмағанда клиентте бөгейіңіз, немесе иесі мен қарау күнімен әдейі ерекшелікті жазып қойыңыз. Әрқайсысы қорғауға болады, ал қорғауға болмайтын жалғыз нәрсе — таңдауды жасырын қалдыру, өйткені жасырын таңдау — ағып кетудің дәл өзі. Егер туннельде v6 шығысы мүлде болмаса, клиентте v6-дан бас тарту адал да, тексеруге болатын да. Маңыздысы — таңдау келесі адам табатын жерде жазылуы, алты айдан кейін мінез-құлықтан болжалмауы.

Қайта қосылғаннан кейін және желілер арасында ауысқаннан кейін тексеруді қайталаңыз, өйткені алдыңғы байланыс үшін орнатылған бағыт өзгерістен аман өтуі мүмкін. Содан кейін межелі орынды, таңдалған бағытты, клиент саясатын және сынақ пайдаланған отбасын жазыңыз, сонда келесі адам шешімді қайта шығармай, оқиды. RFC 7359 қос қабаттың ағып кетуін қате емес, жобалау мәселесі ретінде құжаттайды, және біреу жұмыс істеп тұрған v4 туннелі бәрін жабады деп мәлімдегенде сілтеме жасалатын дәл осы құжат.