Noutschalter blockéiert nëmmen IPv4: firwat IPv6 nach ëmmer erauskënnt

Den Tunnel fält, den Noutschalter mellt, datt hien agraff huet, an en Download leeft weider. An den IPv4-Regele ass näischt futti. D’App ass einfach op e Wee geplënnert, fir deen dës Regele ni geschriwwe goufen.

Dual-Stack-Apparater hunn zwou onofhängeg Ausgäng. E Block op enger vun hinnen ass en halwe Block.

Zwee Reegelsätz, zwee Standardwäerter

Op Linux sinn iptables an ip6tables getrennte Tabellen mat getrennte Politiken. D’INPUT- an OUTPUT-Ketten vun der IPv4-Tabell op DROP ze setzen ännert näischt an der IPv6-Tabell, wou den Standard normalerweis ACCEPT ass. Déi selwecht Deelung gëtt et an nftables, wou een eng Famill ka kontrolléieren an erausfannen, datt just eng vun hinnen är Regele dréit. Déi Asymmetrie ass normal, an et ass de ganze Problem.

Dofir kann en Noutschalter grëndlech ausgesinn an deelweis handelen. De Skript, deen d’IPv4-Regele geschriwwen huet, ass gelaf, d’Zieler klammen, d’Logzeil erschéngt, an en IPv6-Paket verléisst déi physesch Schnëttstell komplett onberéiert.

Lies, wat däi Client tatsächlech installéiert, amplaz wat d’Marketing-Säit versprécht. E puer Clienten leeden IPv6 an den Tunnel, anerer blockéieren et bewosst, an anerer loossen et roueg, während eng Spär op Plattformniveau eng aner Reegel duerchsetzt. D’Dokumentatioun vum Hiersteller ass hei déi eenzeg Quell, déi et wäert ass ze vertrauen.

Wat d’Interface-Konfiguratioun dir verréit

D’Handbuchsäit vum wg-quick enthält IPv6-Reegelen an hirer Beispillkonfiguratioun, an de Grond ass genau dës Lück. D’Beispill ass keng Dekoratioun. Et gëtt et, well just d’IPv4-Reegelen déi zweet Famill opgelooss hätte.

D’Halschent vun engem Beispill ze kopéieren ergëtt d’Halschent vun enger Politik. Dat ass dee geleefegsten Ursprong vun dëser Leck. E Blogpost huet d’Beispill fir d’Längt gekierzt. D’gekierzte Versioun gouf duerno d’Schabloun, déi jiddereen erëm benotzt huet.

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

Wann déi zweet Kommando eng erlaabend Politik dréckt, während déi éischt DROP dréckt, hues du d’Äntwert fonnt, ouni de Client unzepaken. Déi Asymmetrie ass de Feeler.

Firwat eng eenzeg Sich net déi ganz Geschicht ass

Een eenzegen Numm ka souwuel en A-Record wéi och en AAAA-Record zréckginn, an d’Applikatioune wielen net all d’selwecht Manéier. E Browser ka IPv6 preferéieren, wann den Netz et ubitt, a bei engem Feeler zréckfalen, während eng Hannergrond-Synchronisatioun oder en Updater säin eegene Resolver a seng eege Preferenz benotzt. En erfollegräichen Test iwwer IPv4 beweist dofir ee Wee, net d’Politik.

Netzwierkwiessel änneren d’Äntwert och. Sech mat engem aneren Wi-Fi-Netz ze verbannen, aus dem Schlof zervéckkommen oder op mobil ze wiesselen kann dem Apparat en neien IPv6-Prefix ginn, an d’Politik, déi am Büro-LAN duergaangen ass, deckt et vläicht net.

Test deen Zoustand, wou den Tunnel aus ass

Testen, während du verbonne bass, seet dir, datt den Tunnel funktionéiert. Den interessante Test ass den onverfügbaren Zoustand, well do soll den Noutschalter halen. Stop den Tunnel mat Virléift, a probéier duerno d’Destinatiounen, op déi et ukommt, aus der App, déi du schütz.

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

Déi zwou Famille sollten zoue fehlen. Wann d’IPv4-Ufro ausleeft an d’IPv6-Ufro en Statuscode zréckgëtt, ass d’Politik onkomplett, an et wäert sech net änneren, wéi dacks een den Tunnel och nach testet.

Halt d’dokumentéiert Ausnamen och an deem Test. D’Entdeckung vum lokalen Netz, eng DHCP-Erneierung oder de Bootstrap-Wee zum VPN-Endpunkt kann mussen erreechbar bleiwen, an déi Ausname sollte an der Politik genannt ginn, amplaz während enger Stéierung entdeckt ze ginn. En Lecktest, deen ausgeet, well den Tunnel net nees eropkënnt, ass keng Sécherheetsfeststellung, et ass eng Konnektivitätsfeststellung.