Visuotinis IPv6 adresas nereiškia, kad srautas apeina tunelį
Aprėptis nurodo, kiek toli adresas gali būti maršrutizuojamas, o ne kur nuėjo šis paketas. Prieš darydami išvadą perskaitykite sąsają, pasirinktą maršrutą ir tunelio priešdėlį.
Bandomasis puslapis praneša visuotinį IPv6 adresą, ir išvada iš karto šoka prie srauto, kuris apeina VPN. Šiai išvadai reikia dviejų faktų, kurių puslapis niekada neparodė: kuri programa išsiuntė užklausą ir kokį maršrutą jai parinko branduolys. Adreso aprėptis apibūdina, kiek toli adresas gali būti maršrutizuojamas. Ji nieko nesako apie tai, kur nuėjo būtent šis paketas.
Aprėptis ir vaidmuo yra skirtingi klausimai su skirtingais įrodymais.
Aprėptis atsako, kas gali jį maršrutizuoti, o ne kas tai daro
Visuotiniai unicast adresai iš principo yra maršrutizuojami viešajame internete, unikalūs vietiniai adresai skirti vidinei topologijai, o jungties vietiniai adresai egzistuoja tik vienoje jungtyje. Tai adresų bloko savybės. Ar paketas į tam tikrą paskirties vietą išeina per tunelį, sprendžia maršrutizavimo lentelė ir prie sąsajos pritvirtinta politika, ir abi gali rodyti bet kuria kryptimi.
Adresas gali turėti visuotinę aprėptį ir vis tiek būti perduodamas tunelio viduje, nes tunelis yra kelias, o ne adresų planas.
Skaitykite visus sąsajos adresus, o ne žiniatinklio testą
Sąsajos išvestis rodo kelis adresus vienu metu: išorinį adresą fizinėje jungtyje, tunelio adresą ir jungties vietinį adresą kiekvienai sąsajai. Žiniatinklio testas rodo tik vienos užklausos šaltinio adresą. Pradėkite nuo ip -6 addr show ir pažymėkite, kuri sąsaja turi kurį adresą ir kokį priešdėlio ilgį jis neša, tada paklauskite, kurią sąsają užklausa iš tikrųjų naudojo.
Palyginkite tai su ip -6 route get 2606:4700::1111, kuris išspausdina sąsają ir šaltinį, kuriuos branduolys pasirinktų paskirties vietai.
Kaip visuotinis priešdėlis atsiduria tunelio viduje
Du sprendimai sukuria visuotinį adresą tunelio sąsajoje. Teikėjas gali deleguoti priešdėlį, kuris maršrutizuojamas klientui per tunelį, todėl adresas tampa visuotinis, o kelias vis dar yra tunelis. Arba klientas išlaiko savo pradinį visuotinį adresą, o tunelis jį perduoda kaip vidinį srautą, kol išorinė antraštė atlieka darbą. Nė vienas sprendimas nereikalauja vertimo, o painiava prasideda ten, kur IPv4 NAT įpročiai laikomi IPv6 reikalavimu.
Paklauskite administratoriaus, kuris iš dviejų taikomas. Atsakymas nulemia, ką serveris kitoje pusėje mato kaip jūsų šaltinį.
Kodėl privatus atrodantis adresas nėra pasitikėjimo signalas
Unikalus vietinis adresas sako, kad operatorius jį numato vidiniam maršrutizavimui, ir nieko daugiau. Jis neįrodo, kad įrenginys valdomas, programinė įranga patikima ar srautas užšifruotas. Atvirkščiai, visuotinis adresas neįrodo, kad srautas ištrūko iš tunelio, ir būtent šią prielaidą visas šis straipsnis ir egzistuoja, kad sugriautų.
Vertinkite pasitikėjimą pagal politiką, autentifikavimą ir šifravimą. Adreso išvaizda yra silpna euristika, kuri žlunga abiem kryptimis.
Tikrinkite maršrutą ir politiką kaip du klausimus
Pirma maršrutas: paleiskite curl -6 https://ifconfig.me per tunelį ir dar kartą per fizinę sąsają, ir palyginkite atsakymus. Antra politika: patvirtinkite, kokį priešdėlį tunelis iš tikrųjų neša ir ar kita pusė turi grįžimo maršrutą jam. Sėkminga užklausa į viešą svetainę neįrodo nė vieno, nes tą paskirties vietą galima pasiekti iš bet kur. Politikos testui naudokite vidinę paskirties vietą.
Užrašykite šaltinio adresą, kurį sukūrė kiekvienas kelias. Tai įrodymas, kurio teiginiui apie apėjimą iš tikrųjų reikia.