IPv6 ausschalten, fir e VPN-Leck ze behiewen? Entscheet léiwer d'Politik

Eng Adress aus dem IPv6-Beräich erschéngt op enger Testseit, den Tunnel dréit se kloer net, an de beléifste Rot am Internet ass, IPv6 iwwerall auszeschalten. Dee Befehl mécht de Panel wierklech stëll. Hien hëlt awer och e Protokoll ewech, vun deem den Access-Netzwierk ofhängeg ka sinn, an hie léisst Iech ouni Iddi, ob d'Adress e richtegt Leck war, eng Link-Local-Interface-Adress oder e Resolver, dee seng Aarbecht mécht. Dräi Bedingunge bestëmmen déi richteg Kontroll, a just eng dovu féiert zum Blockéieren.

Bestëmmt, wat d'Instrument tatsächlech gemooss huet

Déi heefegst falsch Alarm ass eng Link-Local-Adress, déi mat fe80: ufänkt an op all IPv6-fähegen Interface existéiert, egal ob d'Maschinn d'Internet iwwer IPv6 erreecht oder net. Si erschéngt an Interface-Lëschten an a verschiddenen Applikatiounsdiagnosen, an et seet näischt iwwer Ären Trafikwee.

Déi zweet falsch Alarm ass eng eenzegaarteg lokal Adress an fc00::/7, wat e private Beräich ass, deen am Netzwierk benotzt gëtt. En Instrument, dat all Adress vum Host dréckt, wäert se gär niewent der ëffentlecher oplëschten. Wien séier liest, nennt dat e Leck a verbréngt dann eng Stonn mat engem Problem, dat et net gëtt.

Déi drëtt ass guer keng falsch Alarm. Eng global Adress, déi baussen dem Tunnel d'Internet erreecht, ass dat richtegt Leck, an et ass derwäert, se ze moossen, ier Dir eppes entscheet:

ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co

Wann den éischte Befehl eng global Adress dréckt an den drëtten eng ëffentlech IPv6-Adress zréckgëtt, déi net déi vum Tunnel ass, hutt Dir en echte Wee baussen dem Tunnel. Wann den éischten näischt wéi Link-Local-Antré dréckt, gouf et ni e Leck ze behiewen.

Dräi Bedingunge bestëmmen d'Kontroll

D'Entscheedung ass net "IPv6 gutt" oder "IPv6 schlecht". Et ass, a wéi enger vun dräi Situatiounen Dir sidd, an all huet eng aner richteg Äntwert mat anere Käschten, wann Dir Iech veriert.

Déi éischt Zeil ass dat, wat d'Leit normalerweis mengen, an et ass legitim. E Client, deem säin Ausgang keng IPv6-Ënnerstëtzung huet, soll den eegene IPv6-Trafik vum Host net stëll erausloossen, well dat ass dat dokumentéiert Dual-Stack-Leck. De Punkt ass, en als erkläert Politik ze blockéieren, net e Protokoll am Kernel auszeschalten. D'visibel Resultat ass identesch a just eng vun deenen zwee kann duerno iwwerpréift ginn.

Déi drëtt Zeil ass do, wou de generelle Rot aktiv schiedlech gëtt. Mobiloperatoren an e puer Heemverbindungen bedreiwen IPv6-only-Netzwierker mat Iwwersetzung fir IPv4-Destinatiounen. Huelt do IPv6 ewech an Dir hutt den eenzegen Transport ewech, deen d'Netzwierk ubitt, wat eng vill méi schlëmm Ënnerbriechung mécht wéi déi, déi Dir just ënnersicht hutt.

Wann den Ausgang keng IPv6 huet, blockéiert en bewosst

Bevirzugt de Mechanismus vum Client selwer, well en exact soulaang gëlt, wéi den Tunnel steet, a sech zréckzitt, wann en fält. OpenVPN huet eng Optioun dofir, an iptables huet eng gläichwäerteg Regel fir aner Clienten:

block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachable

D'Direktiv gehéiert an de Profil; d'Regel gehéiert an eng Firewall, déi Dir kënnt iwwerpréiwen an ewechhuelen. Béid schloen zouen Feeler, wat Dir wëllt, a béid si an engem Konfiguratiounsdiff ze gesinn, wat e Kernel-Sysctl, deen an engem Startskript vergruewe läit, net ass.

Schreift op, firwat se do ass. Eng Blockéierregel ouni Kommentar gëtt vun der nächster Persoun ewechgeholl, déi IPv6 fir eppes anescht brauch, an dann kënnt d'Leck stëll zréck.

Wann den Ausgang IPv6 dréit, routet en a test béid Familljen

IPv6 ze droen ass déi besser Äntwert, wann de Server en ënnerstëtzt, an et ass net vill méi schwéier. D'Bedingung ass, datt den Tunnel-Interface eng Adress an där Famill huet an datt seng Standardroute an den Tunnel weist an net aus dem physeschen Interface eraus:

ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.co

D'Routensich ass den entscheedenden Test: wann se den Tunnel-Interface nennt, gëtt IPv6-Trafik gedroen. Déi zwee curl-Opruff bestätegen dann, wat all Famill gesäit, an se vergläichen ass de Wee, fir ze beweisen, datt béid Weeër elo duerch deeselwechten Ausgang erausgoen.

Bleift net bei enger erfollegräicher Verbindung stoen. Verbënnt den Tunnel nei a kontrolléiert nach eng Kéier, well eng gedréckt IPv6-Route beim Neiopbau verluer goe kann, wann de Server se just an der Ufankskonfiguratioun schéckt. Kontrolléiert duerno eng ausgeschloss Destinatioun, well Split-Tunnel-Reegelen de Punkt sinn, wou déi zwou Familljen am heefegsten ausernee goen.

Wann den Access-Netzwierk just IPv6 ass, loosst en a Rou

Verschidde Netzwierker bidden just IPv6 an erwaarden, datt den Apparat IPv4-Servicer iwwer en Iwwersetzungsmechanismus op der Bedreiwer-Säit erreecht. IPv6 op sou enger Maschinn auszeschalten ass keng Sécherheetsverbesserung; et hëlt den eenzege Wee zu allem ewech. Dat ass eng selwer verursaacht Ënnerbriechung fir en Testresultat, deen kee gebraucht huet.

D'Symptom, fir dat falsch ze maachen, ass charakteristesch an onangenehm: den Tunnel schéngt sech opzebauen, d'Nimmopwierkung funktionéiert, an näischt lued. Wann Dir dat no enger IPv6-Ännerung gesitt, setzt d'Astellung direkt zréck a fuert mat der Diagnos soss enger Plaz.

Wat Dir och wielt, haalt d'Entscheedung explizit am Profil oder an der Firewall, bindet se un dat, wat den Ausgang tatsächlech ënnerstëtzt, a notéiert d'Dual-Stack-Verhalen, dat d'RFC 7359-Diskussioun iwwer Dual Stack beschreift. Eng erkläert Blockéierung ass eng Politik. E Protokoll, deen ausgeschalt ass, ass en Ëmwee, deen een net ka prüfen, an aus der Testseit gesinn se identesch aus.