VPN ಸೋರಿಕೆ ಸರಿಪಡಿಸಲು IPv6 ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಬೇಕೆ? ಬದಲಿಗೆ ನೀತಿ ನಿರ್ಧರಿಸಿ
ಲಿಂಕ್-ಲೋಕಲ್ ವಿಳಾಸ ಸೋರಿಕೆ ಅಲ್ಲ, ಜಾಗತಿಕ IPv6 ಮಾರ್ಗವೂ ಅಲ್ಲ. ಮೊದಲು ನಿರ್ಬಂಧಿಸುವುದು, ಸಾಗಿಸುವುದು ಮತ್ತು ಬಿಡುವುದರ ನಡುವೆ ಆಯ್ಕೆ ಮಾಡಿ.
IPv6 ಶ್ರೇಣಿಯ ವಿಳಾಸವೊಂದು ಪರೀಕ್ಷಾ ಪುಟದಲ್ಲಿ ಕಾಣಿಸುತ್ತದೆ, ಸುರಂಗವು ಅದನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಸಾಗಿಸುತ್ತಿಲ್ಲ, ಮತ್ತು ಇಂಟರ್ನೆಟ್ನ ಅತ್ಯಂತ ಜನಪ್ರಿಯ ಸಲಹೆ ಎಂದರೆ IPv6 ಅನ್ನು ಎಲ್ಲೆಡೆ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು. ಆ ಆದೇಶವು ಪ್ಯಾನೆಲ್ ಅನ್ನು ಸದ್ದಿಲ್ಲದೆ ಮಾಡುತ್ತದೆ. ಆದರೆ ಪ್ರವೇಶ ಜಾಲವು ಅವಲಂಬಿಸಿರಬಹುದಾದ ಪ್ರೋಟೋಕಾಲ್ ಅನ್ನೂ ತೆಗೆದುಹಾಕುತ್ತದೆ, ಮತ್ತು ವಿಳಾಸವು ನಿಜವಾದ ಸೋರಿಕೆಯೇ, ಲಿಂಕ್-ಲೋಕಲ್ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸವೇ, ಅಥವಾ ತನ್ನ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ರಿಜಾಲ್ವರ್ ಎಂಬುದರ ಕಲ್ಪನೆಯನ್ನೂ ನಿಮಗೆ ಬಿಡುವುದಿಲ್ಲ. ಸರಿಯಾದ ನಿಯಂತ್ರಣವನ್ನು ಮೂರು ಷರತ್ತುಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದೇ ನಿರ್ಬಂಧಕ್ಕೆ ಕೊಂಡೊಯ್ಯುತ್ತದೆ.
ಉಪಕರಣವು ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಅಳೆದಿದೆ ಎಂಬುದನ್ನು ಗುರುತಿಸಿ
ಅತ್ಯಂತ ಸಾಮಾನ್ಯವಾದ ತಪ್ಪು ಎಚ್ಚರಿಕೆ ಲಿಂಕ್-ಲೋಕಲ್ ವಿಳಾಸ, ಅದು fe80: ನಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ ಮತ್ತು IPv6 ಸಾಮರ್ಥ್ಯವಿರುವ ಪ್ರತಿಯೊಂದು ಇಂಟರ್ಫೇಸ್ನಲ್ಲೂ ಇರುತ್ತದೆ, ಯಂತ್ರವು IPv6 ಮೂಲಕ ಇಂಟರ್ನೆಟ್ ತಲುಪಬಹುದೋ ಇಲ್ಲವೋ ಎಂಬುದು ಮುಖ್ಯವಲ್ಲ. ಅದು ಇಂಟರ್ಫೇಸ್ ಪಟ್ಟಿಗಳಲ್ಲಿ ಮತ್ತು ಕೆಲವು ಅಪ್ಲಿಕೇಶನ್ ರೋಗನಿರ್ಣಯಗಳಲ್ಲಿ ಕಾಣಿಸುತ್ತದೆ, ಮತ್ತು ನಿಮ್ಮ ಸಂಚಾರ ಮಾರ್ಗದ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.
ಎರಡನೇ ತಪ್ಪು ಎಚ್ಚರಿಕೆ fc00::/7 ಒಳಗಿನ ಅನನ್ಯ ಸ್ಥಳೀಯ ವಿಳಾಸ, ಅದು ಜಾಲದ ಒಳಗೆ ಬಳಸುವ ಖಾಸಗಿ ಶ್ರೇಣಿ. ಹೋಸ್ಟ್ನ ಎಲ್ಲಾ ವಿಳಾಸಗಳನ್ನು ಮುದ್ರಿಸುವ ಉಪಕರಣವು ಅದನ್ನು ಸಾರ್ವಜನಿಕ ವಿಳಾಸದ ಪಕ್ಕದಲ್ಲಿ ಸಂತೋಷದಿಂದ ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ಬೇಗ ಓದುವವರು ಅದನ್ನು ಸೋರಿಕೆ ಎಂದು ಕರೆದು, ನಂತರ ಇಲ್ಲದ ಸಮಸ್ಯೆಗೆ ಒಂದು ಗಂಟೆ ಕಳೆಯುತ್ತಾರೆ.
ಮೂರನೆಯದು ಸ್ವಲ್ಪವೂ ತಪ್ಪು ಎಚ್ಚರಿಕೆ ಅಲ್ಲ. ಸುರಂಗದ ಹೊರಗೆ ಇಂಟರ್ನೆಟ್ ತಲುಪುವ ಜಾಗತಿಕ ವಿಳಾಸವೇ ನಿಜವಾದ ಸೋರಿಕೆ, ಮತ್ತು ಏನನ್ನಾದರೂ ನಿರ್ಧರಿಸುವ ಮೊದಲು ಅದನ್ನು ಅಳೆಯುವುದು ಯೋಗ್ಯ.
ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.coಮೊದಲ ಆದೇಶವು ಜಾಗತಿಕ ವಿಳಾಸವನ್ನು ಮುದ್ರಿಸಿ ಮೂರನೆಯದು ಸುರಂಗದ್ದಲ್ಲದ ಸಾರ್ವಜನಿಕ IPv6 ವಿಳಾಸವನ್ನು ಹಿಂತಿರುಗಿಸಿದರೆ, ಸುರಂಗದ ಹೊರಗೆ ನಿಮಗೆ ನಿಜವಾದ ಮಾರ್ಗವಿದೆ. ಮೊದಲನೆಯದು ಲಿಂಕ್-ಲೋಕಲ್ ನಮೂದುಗಳ ಹೊರತು ಬೇರೇನನ್ನೂ ಮುದ್ರಿಸದಿದ್ದರೆ, ಸರಿಪಡಿಸಲು ಸೋರಿಕೆ ಎಂದೂ ಇರಲಿಲ್ಲ.
ನಿಯಂತ್ರಣವನ್ನು ಮೂರು ಷರತ್ತುಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ
ನಿರ್ಧಾರ "IPv6 ಒಳ್ಳೆಯದು" ಅಥವಾ "IPv6 ಕೆಟ್ಟದು" ಅಲ್ಲ. ನಿರ್ಧಾರ ಎಂದರೆ ನೀವು ಮೂರು ಸನ್ನಿವೇಶಗಳಲ್ಲಿ ಯಾವುದರಲ್ಲಿದ್ದೀರಿ, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ಬೇರೆ ಸರಿಯಾದ ಉತ್ತರವಿದೆ, ತಪ್ಪು ಮಾಡಿದರೆ ಬೇರೆ ಬೆಲೆಯೂ ಇದೆ.
| Situation | Correct control | Cost if you disable IPv6 instead |
|---|---|---|
| Exit has no IPv6, host does | Block IPv6 deliberately in the tunnel policy | Same visible result, no documentation of intent |
| Exit carries IPv6, host leaks | Route IPv6 into the tunnel and verify | You lose IPv6 reachability entirely |
| Access network is IPv6-only | Change nothing; use the tunnel's IPv6 | Machine loses connectivity completely |
ಮೊದಲ ಸಾಲು ಜನರು ಸಾಮಾನ್ಯವಾಗಿ ಉದ್ದೇಶಿಸುವುದು, ಮತ್ತು ಅದು ಸಮಂಜಸ. ಎಗ್ಜಿಟ್ನಲ್ಲಿ IPv6 ಬೆಂಬಲವಿಲ್ಲದ ಕ್ಲೈಂಟ್ ಹೋಸ್ಟ್ನ ಸ್ವಂತ IPv6 ಸಂಚಾರವನ್ನು ಸದ್ದಿಲ್ಲದೆ ಹೊರಕ್ಕೆ ಬಿಡಬಾರದು, ಏಕೆಂದರೆ ಅದೇ ದಾಖಲಿತ ಡ್ಯುಯಲ್-ಸ್ಟ್ಯಾಕ್ ಸೋರಿಕೆ. ಮುಖ್ಯ ಅಂಶ ಅದನ್ನು ಘೋಷಿತ ನೀತಿಯಾಗಿ ನಿರ್ಬಂಧಿಸುವುದು, ಕರ್ನಲ್ನಲ್ಲಿ ಪ್ರೋಟೋಕಾಲ್ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದಲ್ಲ. ಕಾಣುವ ಫಲಿತಾಂಶ ಒಂದೇ, ಮತ್ತು ನಂತರ ಪರಿಶೀಲಿಸಬಹುದಾದದ್ದು ಒಂದೇ.
ಮೂರನೇ ಸಾಲಿನಲ್ಲೇ ಸಾಮಾನ್ಯ ಸಲಹೆ ಸಕ್ರಿಯವಾಗಿ ಹಾನಿಕಾರಕವಾಗುತ್ತದೆ. ಮೊಬೈಲ್ ನಿರ್ವಾಹಕರು ಮತ್ತು ಕೆಲವು ಮನೆ ಸಂಪರ್ಕಗಳು IPv4 ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಅನುವಾದದೊಂದಿಗೆ IPv6-only ಜಾಲಗಳನ್ನು ನಡೆಸುತ್ತವೆ. ಅಲ್ಲಿ IPv6 ತೆಗೆದರೆ ಜಾಲ ಒದಗಿಸುವ ಏಕೈಕ ಸಾಗಣೆಯನ್ನೇ ತೆಗೆಯುತ್ತೀರಿ, ಇದು ನೀವು ಡೀಬಗ್ ಮಾಡುತ್ತಿದ್ದ ಅಡಚಣೆಗಿಂತ ಬಹಳ ಕೆಟ್ಟ ಅಡಚಣೆ ಉಂಟುಮಾಡುತ್ತದೆ.
ಎಗ್ಜಿಟ್ನಲ್ಲಿ IPv6 ಇಲ್ಲದಿದ್ದರೆ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನಿರ್ಬಂಧಿಸಿ
ಕ್ಲೈಂಟ್ನ ಸ್ವಂತ ಕಾರ್ಯವಿಧಾನವನ್ನು ಆದ್ಯತೆ ನೀಡಿ, ಏಕೆಂದರೆ ಅದು ಸುರಂಗ ಎತ್ತರದಲ್ಲಿರುವವರೆಗೆ ನಿಖರವಾಗಿ ಅನ್ವಯವಾಗುತ್ತದೆ ಮತ್ತು ಅದು ಬಿದ್ದಾಗ ಹಿಂತಿರುಗುತ್ತದೆ. OpenVPN ಇದಕ್ಕೆ ಆಯ್ಕೆ ಹೊಂದಿದೆ, ಮತ್ತು ಇತರ ಕ್ಲೈಂಟ್ಗಳಿಗೆ iptables ಸಮಾನ ನಿಯಮ ಹೊಂದಿದೆ:
block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachableಸೂಚನೆ ಪ್ರೊಫೈಲ್ಗೆ ಸೇರಿದ್ದು; ನಿಯಮವು ನೀವು ಪರಿಶೀಲಿಸಿ ತೆಗೆದುಹಾಕಬಹುದಾದ ಫೈರ್ವಾಲ್ಗೆ ಸೇರಿದ್ದು. ಎರಡೂ ಮುಚ್ಚಿದ ಸ್ಥಿತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ, ಅದೇ ನಿಮಗೆ ಬೇಕಾದದ್ದು, ಮತ್ತು ಎರಡೂ ಸಂರಚನಾ ಡಿಫ್ನಲ್ಲಿ ಕಾಣುತ್ತವೆ, ಸ್ಟಾರ್ಟಪ್ ಸ್ಕ್ರಿಪ್ಟ್ನಲ್ಲಿ ಹೂತಿರುವ ಕರ್ನಲ್ sysctl ಕಾಣುವುದಿಲ್ಲ.
ಅದು ಏಕೆ ಇದೆ ಎಂದು ದಾಖಲಿಸಿ. ಟೀಕೆ ಇಲ್ಲದ ನಿರ್ಬಂಧ ನಿಯಮವನ್ನು IPv6 ಬೇರೆ ಯಾವುದಕ್ಕಾದರೂ ಬೇಕಾದ ಮುಂದಿನ ವ್ಯಕ್ತಿ ತೆಗೆದುಹಾಕುತ್ತಾನೆ, ಆಮೇಲೆ ಸೋರಿಕೆ ಸದ್ದಿಲ್ಲದೆ ಮರಳುತ್ತದೆ.
ಎಗ್ಜಿಟ್ IPv6 ಸಾಗಿಸಿದರೆ ಅದನ್ನು ಮಾರ್ಗೀಕರಿಸಿ ಮತ್ತು ಎರಡೂ ಕುಟುಂಬಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ
ಸರ್ವರ್ ಬೆಂಬಲಿಸಿದರೆ IPv6 ಸಾಗಿಸುವುದು ಉತ್ತಮ ಉತ್ತರ, ಮತ್ತು ಅದು ಹೆಚ್ಚು ಕಷ್ಟವಲ್ಲ. ಷರತ್ತು ಎಂದರೆ ಸುರಂಗ ಇಂಟರ್ಫೇಸ್ಗೆ ಆ ಕುಟುಂಬದ ವಿಳಾಸ ಇರಬೇಕು ಮತ್ತು ಅದರ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್ನಿಂದ ಹೊರಕ್ಕೆ ಅಲ್ಲ, ಸುರಂಗದ ಒಳಗೆ ತೋರಿಸಬೇಕು:
ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.coಮಾರ್ಗ ಹುಡುಕುವಿಕೆಯೇ ನಿರ್ಣಾಯಕ ಪರೀಕ್ಷೆ: ಅದು ಸುರಂಗ ಇಂಟರ್ಫೇಸ್ ಹೆಸರಿಸಿದರೆ IPv6 ಸಂಚಾರ ಸಾಗಿಸಲ್ಪಡುತ್ತಿದೆ. ನಂತರ ಎರಡು curl ಕರೆಗಳು ಪ್ರತಿ ಕುಟುಂಬ ಏನನ್ನು ನೋಡುತ್ತದೆ ಎಂಬುದನ್ನು ಖಚಿತಪಡಿಸುತ್ತವೆ, ಮತ್ತು ಅವನ್ನು ಹೋಲಿಸುವುದೇ ಎರಡೂ ಮಾರ್ಗಗಳು ಈಗ ಒಂದೇ ಎಗ್ಜಿಟ್ನಿಂದ ಹೊರಡುತ್ತವೆ ಎಂದು ಸಾಬೀತು ಮಾಡುವ ದಾರಿ.
ಯಶಸ್ವಿ ಸಂಪರ್ಕದಲ್ಲೇ ನಿಲ್ಲಬೇಡಿ. ಸುರಂಗವನ್ನು ಮತ್ತೆ ಸಂಪರ್ಕಿಸಿ ಮತ್ತೆ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಸರ್ವರ್ ಅದನ್ನು ಆರಂಭಿಕ ಸಂರಚನೆಯಲ್ಲಿ ಮಾತ್ರ ಕಳುಹಿಸಿದರೆ ತಳ್ಳಲಾದ IPv6 ಮಾರ್ಗವು ಮರುಸ್ಥಾಪನೆಯಲ್ಲಿ ಕಳೆದುಹೋಗಬಹುದು. ನಂತರ ಒಂದು ಹೊರತುಪಡಿಸಿದ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಸ್ಪ್ಲಿಟ್-ಟನಲ್ ನಿಯಮಗಳಲ್ಲೇ ಎರಡೂ ಕುಟುಂಬಗಳು ಹೆಚ್ಚಾಗಿ ಭಿನ್ನವಾಗುತ್ತವೆ.
ಪ್ರವೇಶ ಜಾಲವು IPv6 ಮಾತ್ರವಾಗಿದ್ದರೆ ಅದನ್ನು ಬಿಡಿ
ಕೆಲವು ಜಾಲಗಳು IPv6 ಮಾತ್ರ ಒದಗಿಸುತ್ತವೆ ಮತ್ತು ಸಾಧನವು ನಿರ್ವಾಹಕರ ಬದಿಯ ಅನುವಾದ ಕಾರ್ಯವಿಧಾನದ ಮೂಲಕ IPv4 ಸೇವೆಗಳನ್ನು ತಲುಪುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುತ್ತವೆ. ಅಂತಹ ಯಂತ್ರದಲ್ಲಿ IPv6 ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಭದ್ರತಾ ಸುಧಾರಣೆ ಅಲ್ಲ; ಅದು ಯಾವುದಕ್ಕೂ ಇರುವ ಏಕೈಕ ಮಾರ್ಗವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ. ಅದು ಯಾರಿಗೂ ಬೇಕಿಲ್ಲದ ಪರೀಕ್ಷಾ ಫಲಿತಾಂಶಕ್ಕಾಗಿ ನೀವೇ ಉಂಟುಮಾಡಿಕೊಳ್ಳುವ ಅಡಚಣೆ.
ಇಲ್ಲಿ ತಪ್ಪು ಮಾಡುವ ಲಕ್ಷಣ ವಿಶಿಷ್ಟ ಮತ್ತು ಅಹಿತಕರ: ಸುರಂಗ ಸ್ಥಾಪನೆಯಾದಂತೆ ಕಾಣುತ್ತದೆ, ಹೆಸರು ವಿಭೇದನ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಏನೂ ಲೋಡ್ ಆಗುವುದಿಲ್ಲ. IPv6 ಬದಲಾವಣೆಯ ನಂತರ ಇದನ್ನು ಕಂಡರೆ ತಕ್ಷಣ ಸೆಟ್ಟಿಂಗ್ ಮರಳಿಸಿ ಮತ್ತು ರೋಗನಿರ್ಣಯವನ್ನು ಬೇರೆಡೆ ಮುಂದುವರಿಸಿ.
ನೀವು ಏನೇ ಆಯ್ಕೆ ಮಾಡಿದರೂ, ನಿರ್ಧಾರವನ್ನು ಪ್ರೊಫೈಲ್ ಅಥವಾ ಫೈರ್ವಾಲ್ನಲ್ಲಿ ಸ್ಪಷ್ಟವಾಗಿ ಇರಿಸಿ, ಎಗ್ಜಿಟ್ ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ ಎಂಬುದಕ್ಕೆ ಅದನ್ನು ಬಿಗಿಗೊಳಿಸಿ, ಮತ್ತು ವಿವರಿಸುವ ಡ್ಯುಯಲ್-ಸ್ಟ್ಯಾಕ್ ವರ್ತನೆಯನ್ನು ಗಮನಿಸಿ RFC 7359 ಡ್ಯುಯಲ್-ಸ್ಟ್ಯಾಕ್ ಚರ್ಚೆ . ಘೋಷಿತ ನಿರ್ಬಂಧ ನೀತಿ. ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿದ ಪ್ರೋಟೋಕಾಲ್ ಯಾರೂ ಪರಿಶೀಲಿಸಲಾಗದ ಪರ್ಯಾಯ ಮಾರ್ಗ, ಮತ್ತು ಪರೀಕ್ಷಾ ಪುಟದಿಂದ ಎರಡೂ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತವೆ.