VPN이 연결된 채로 IPv6 주소가 바뀌는 이유

한 시간 간격으로 찍은 두 스크린샷에 서로 다른 IPv6 원본 주소가 보이면 터널이 새거나 다시 연결되었다고 읽기 쉽습니다. 대개는 둘 다 일어나지 않았습니다. 호스트는 임시 주소를 쓰고 있으며, 이는 운영체제의 개인정보 보호 기능으로 인터페이스 식별자를 타이머에 따라 교체합니다. 그 비교가 결정적으로 보인 것은 한 번도 안정적이지 않았던 필드를 전제로 했기 때문일 뿐입니다.

임시 주소가 실제로 교체하는 것

임시 주소는 인터페이스 프리픽스에 호스트가 바꾸는 식별자를 더해 만들어지고, 선호 수명과 유효 수명을 가집니다. 유효 수명이 끝나기 전에 호스트는 대체 주소를 만들므로 두 연결이 서로 다른 원본에서 나가는 것은 정당합니다. 링크 로컬 주소와 프리픽스 자체는 그대로 남고, 네트워크는 지금도 그 기계를 그렇게 알아봅니다.

그 교체로 계정이나 쿠키, 브라우징 패턴이 익명이 되지는 않습니다. 여러분을 알아보려는 사이트에는 쿠키와 로그인, 핑거프린트가 있고, 바뀌는 원본 주소는 그 앞에서 거의 힘을 쓰지 못합니다. 교체가 바꾸는 것은 패킷 헤더의 필드 하나이며, 그 필드가 경로에서 유일한 식별자였던 적은 없습니다.

웹사이트는 주소 하나를 보고, 호스트는 여러 개를 가집니다

서버는 받은 요청의 원본만 기록합니다. 호스트는 범위와 수명이 다른 주소를 여러 개 가질 수 있고, 어느 것이 이기는지는 주소 선택 규칙과 목적지에 달려 있습니다. 웹사이트의 값을 기계의 주소로 읽는 데서 이 혼란이 시작됩니다. 한 호스트가 같은 순간에 두 사이트에게 두 기계처럼 보일 수 있는 것은, 각 연결이 다른 주소를 골랐기 때문일 뿐입니다.

시험 중에 ip -6 addr show dev eth0 로 인터페이스를 보십시오: 수명이 붙은 주소가 여러 개라면 교체가 설계대로 있습니다. 그다음 ip -6 route get 2001:db8:10::5 로 커널에 어느 경로를 쓸지 물으면, 그 목적지의 장치와 선호 원본을 출력합니다.

문자열이 아니라 프리픽스, 인터페이스, 경로를 비교하십시오

VPN 시험에서 물어야 할 것은 패킷이 터널로 나갔는지이며, 이는 라우팅과 정책의 문제입니다. 원본 주소는 그에 대한 약한 대리 지표입니다: 터널 인터페이스에서 교체되는 주소도 여전히 터널 위에 있습니다. 다시 연결되는 터널은 보통 프리픽스나 장치를 바꾸고, 그 변화는 전체 주소를 읽지 않아도 보입니다.

그러니 선택된 경로와 패킷이 나간 인터페이스, 실린 프리픽스를 비교하십시오. 이 셋은 실행 사이에 충분히 안정적이고, 바뀔 때 각기 다른 의미를 가집니다.

프리픽스가 바뀌거나 인터페이스가 바뀌거나 목적지로 가는 경로가 터널을 쓰지 않게 될 때 변화는 중요합니다. 같은 프리픽스와 같은 장치에서 인터페이스 식별자만 바뀌었다면 그것은 의도대로 작동하는 개인정보 보호 동작입니다. 식별자만 움직였다면 그 시험은 커버리지가 아니라 개인정보 보호 타이머를 측정한 것입니다. 터널을 탓하기 전에 셋 중 무엇이 움직였는지 적어 두십시오.

스크린샷을 맞추려고 IPv6 를 끄지 마십시오

IPv6 를 끄면 반복 시험이 일치하지만, 터널이 덮어야 할 네트워크에서 주소 체계 하나를 통째로 없애는 일이기도 합니다. 정책이 IPv6 를 나르는 것이라면, 끄는 것은 커버리지 구멍을 메우는 대신 감춥니다.

IPv6 가 지원될 때까지 막는 것이 정책이라면 의도적으로 막고 그 결정을 적어 두십시오. 다음 관리자는 문서화된 차단과 꺼진 스택의 차이를 볼 수 있어야 합니다.

무엇을 기록하고, 시험 하나가 무엇을 증명할 수 있는가

프리픽스, 인터페이스 이름, 선택된 경로를 목적지와 시각, 그리고 전체 주소와 나란히 기록하십시오. 임시 주소 명세는 교체를 이끄는 수명을 설명하며, 그래서 메모에서 전체 주소가 가장 불안정한 필드입니다. 안정적인 세 필드 가운데 둘이 실행 사이에 일치하는 것이 단일 주소 일치보다 강한 증거입니다.

시험 하나는 요청 하나에 대한 관찰 하나입니다. 다음 관찰을 비교로 만드는 것은 메모입니다. 둘 다 남기면 다음 불일치는 반나절이 아니라 한눈으로 끝납니다.