IPv6-Traffic un der VPN laanscht: déi leckend Route fannen

Zwou Test-Säiten eens sech net: déi eng mellt d’Adress vum Provider duerch den Tunnel, déi zweet mellt däi Stot-Präfix, an de kloere Schluss ass, datt d’VPN leckt. Dee Schluss spréngt ee Schrëtt iwwer, well déi zwou Rapporten zwee verschidde Routing-Entscheedunge benotzt hunn an nëmmen eng dovun sollt an den Tunnel eran. D’Lück ass meeschtens richteg, an et ass e Problem vun der Ofdeckung an net en futtigen Tunnel. Dräi Froen entscheeden dat: wéi ee Flux tatsächlech erausgaangen ass, wéi eng Route den Kernel dofir gewielt huet, a wéi ee Verhalen de Client virgesinn hat.

Schaff an där Reihenfolg. Se ausser der Reihenfolg ze beäntwerten ergëtt eng laang Diskussioun, ob de Client feelerhaft ass, woubäi déi richteg Äntwert ass, datt ni eng IPv6-Route installéiert gouf.

Wéi ee Flux tatsächlech erausgaangen ass, a op wéi engem Adapter

Fänk mat engem Test un, deen d’Famill nennt, déi en benotzt huet, a schreif dann d’Applikatioun, den Access-Netzwierk, de Profil deen am Kraaft ass an ob d’Verbindung iwwerhaapt IPv6 ubitt op. Déi véier Fakten maachen zwou Ausféierungen vergläichbar, an de véierte vergiessen d’Leit: en Netzwierk ouni v6-Präfix kann kee v6 lecken, an en Netzwierk, dee méi spéit een derbäi setzt, ännert d’Äntwert.

Schéck eng Ufro pro Famill, amplaz eng Säit ze lueden an hir Resultat ze liesen. Eng eenzeg Säit kann v6- a v4-Ressourcen vermëschen, en Hannergrondprozess kann sech anescht behuelen wéi den Tab virun dir, an eng Äntwert aus dem Cache kann de Netzwierkwiessel iwwerliewe, dee s du probéiers ze testen. Fixéier den Zil, deen s testest, a schreif en op, sou datt eng widderholl Ausféierung datselwecht moosst.

D’Route liesen, déi den Kernel gewielt huet

D’Routentabelle beäntwert d’Fro, déi de Browser net kann. Frot de System, wou en bestëmmten Zil higeet, a setz souwuel Politik-Regelen wéi och de sichtbaren Standard derbäi, well béides ka s’iwwerschreiwen:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

E méi spezifesche Präfix ass de gewéinleche Grond, datt een Zil baussen dem Tunnel bleift, wärend alles anescht banne bleift, an eng Politik-Regel kann datselwecht mat méi héijer Prioritéit wéi all Route maachen. Liest och d’Metrik, well zwou Entréë fir dee selwechte Präfix entscheede sech duerch d’Metrik an net duerch hir Reihenfolg um Bildschierm. Ënner Windows ass déi gläichwäerteg Lëscht Get-NetRoute -AddressFamily IPv6, no Metrik sortéiert, fir mat der Entscheedungs-Reihenfolg ze passen. Eng Regel, déi an der Tabell richteg ausgesäit, ka trotzdem géint eng Politik-Regel mat enger méi niddereger Nummer verléieren, dofir gehéiert d’Regellëscht am selwechten Otemzuch wéi d’Routelëscht.

Wouhier d’IPv6-Politik vum Client kënnt

E Client ka gebaut sinn, fir de v6 duerch den Tunnel ze féieren, en ofzeleenen oder eng benannt Ausnam zouzeloossen, an déi dräi Absichten ergiwwen dräi verschidde richteg Resultater. Liest de Profil an d’Dokumentatioun vum Client selwer, ier s eng Observatioun als Lek bezeechnes, well e Client, deen de v6 blockéiert, während d’Betribssystem nach ëmmer Noper-Entdeckung um physikalesche Link schéckt, sech behuelt wéi en designéiert ass.

Eng Applikatioun, déi bewosst aus dem Tunnel ausgeschloss ass, ass en anere Fall wéi eng Famill, déi den Tunnel ni gedroen huet. Dat éischt ass eng Entscheedung iwwer ee Programm, dat zweet ass eng Lück an der Ofdeckung, an d’Reparatur ënnerscheet sech entspriechend. Liest d’Lëscht vun den ausgeschlossene Programmer vum Client, ier s eng Route siche gees, déi ni sollt existéieren.

Eng schmuel Observatioun, wann d’Tabell sech widersprécht

Wann d’Route-Sich zweedeiteg ass, kann eng eenzeg Interface-Observatioun um Host se klären, awer nëmmen wann se op d’Fro gezielt ass. Traffic zum VPN-Endpunkt selwer geet am Design iwwer den physikaleschen Adapter; wat zielt, ass ob de Floss vun der Applikatioun, deen iergendwou ganz anescht adresséiert ass, och do erschéngt. Filter d’Aufnam op den Zil, deen s testest, amplaz alles ze sammelen.

Eng breet Aufnam weist vill méi perséinlechen Traffic, wéi déi eng Fro verlaangt. Se beäntwert d’Fro och manner kloer, well de Floss, deen dech intresséiert, begruewen an engem Stroum vun net-zesummenhängende Verbindungen ukommt. Filter op den getesteten Zil, hale no enger Handvoll Paketen op, a läsch d’Aufnam.

Dräi Weeër, d’Lück ze schléissen

Féier d’Famill duerch den Tunnel, blockéier se am Client, wann den Tunnel se net droe kann, oder dokumentéier eng bewosst Ausnam mat engem Eegentemer an engem Iwwerpréiwungsdatum. Alleng ass verdeedbar, an dat eenzegt, wat net verdeedbar ass, ass d’Wiel implizit ze loossen, well eng implizit Wiel ass genee dat, wat de Lek ass. Wann den Tunnel iwwerhaapt keen v6-Ausgang huet, ass et souwuel éierlech wéi och testbar, de v6 am Client ofzeleenen. Wat zielt, ass datt d’Wiel do opgeschriwwe steet, wou déi nächst Persoun se fënnt, an net sechs Méint méi spéit aus dem Verhalen ofgeleet gëtt.

Widderhuel d’Kontroll no enger Neiverbindung an no engem Wiessel tëscht Netzwierker, well eng Route, déi fir de virege Link installéiert gouf, de Wiessel ka iwwerliewe. Dann notéier den Zil, déi gewielte Route, d’Politik vum Client an d’Famill, déi den Test benotzt huet, sou datt déi nächst Persoun eng Entscheedung liest, amplaz se nees ofzeleeden. RFC 7359 dokumentéiert de Dual-Stack-Lek als Designproblem an net als Feeler, an et ass d’Referenz, déi een zitéiert, wann een behaapt, en funktionéierenden v4-Tunnel deckt alles of.