IPv6 srautas, einantis pro VPN: rasti nutekantį maršrutą

Du bandymų puslapiai nesutaria: vienas praneša teikėjo adresą per tunelį, antras praneša jūsų namų prefiksą, ir akivaizdi išvada — VPN nuteka. Ši išvada praleidžia vieną žingsnį, nes abi ataskaitos atliko du skirtingus maršrutizavimo sprendimus, o į tunelį turėjo patekti tik vienas iš jų. Spraga paprastai yra tikra, ir tai padengimo problema, o ne sulaužytas tunelis. Tris klausimai tai išsprendžia: kuris srautas iš tikrųjų išėjo, kokį maršrutą branduolys jam pasirinko ir kokio elgesio klientas ketino.

Dirbkite ta tvarka. Atsakius ne ta tvarka kyla ilga diskusija, ar klientas yra su defektu, nors tikrasis atsakymas yra tas, kad IPv6 maršrutas niekada nebuvo įdiegtas.

Kuris srautas iš tikrųjų išėjo ir per kurią adapterį

Pradėkite nuo bandymo, kuris įvardija naudotą šeimą, tada užrašykite programą, prieigos tinklą, galiojantį profilį ir ar ryšys apskritai siūlo IPv6. Šie keturi faktai leidžia palyginti du paleidimus, o ketvirtąjį žmonės pamiršta: tinklas be v6 prefikso negali nutekėti v6, o tinklas, kuris vėliau jį prideda, pakeičia atsakymą.

Siųskite po vieną užklausą kiekvienai šeimai, o ne įkelkite puslapį ir skaitykite jo rezultatą. Vienas puslapis gali maišyti v6 ir v4 išteklius, foninis procesas gali elgtis kitaip nei priešais esanti kortelė, o atsakymas iš podėlio gali pergyventi tinklo pokytį, kurį bandote patikrinti. Užfiksuokite tikrinamą paskirties vietą ir užrašykite ją, kad pakartotinis paleidimas matuotų tą patį.

Skaityti maršrutą, kurį pasirinko branduolys

Maršrutų lentelė atsako į klausimą, į kurį naršyklė negali. Paklauskite sistemos, kur eitų konkreti paskirties vieta, ir įtraukite tiek politikos taisykles, tiek matomą numatytąjį maršrutą, nes abu gali jį pakeisti:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Konkretesnis prefiksas yra įprasta priežastis, kodėl viena paskirties vieta lieka už tunelio, o visa kita lieka viduje, ir politikos taisyklė gali padaryti tą patį su didesniu prioritetu nei bet kuris maršrutas. Skaitykite ir metriką, nes du to paties prefikso įrašai sprendžiami pagal metriką, o ne pagal jų tvarką ekrane. Windows sistemoje atitinkamas sąrašas yra Get-NetRoute -AddressFamily IPv6, surikiuotas pagal metriką, kad atitiktų sprendimo tvarką. Taisyklė, kuri lentelėje atrodo teisinga, vis tiek gali pralaimėti mažesnio numerio politikos taisyklei, todėl taisyklių sąrašas priklauso tam pačiam įkvėpimui kaip ir maršrutų sąrašas.

Iš kur kyla kliento IPv6 politika

Klientas gali būti sukurtas perduoti v6 per tunelį, jo atsisakyti arba leisti įvardytą išimtį, ir šie trys ketinimai duoda tris skirtingus teisingus rezultatus. Perskaitykite profilį ir paties kliento dokumentaciją prieš pavadindami stebėjimą nutekėjimu, nes klientas, kuris blokuoja v6, kol operacinė sistema vis dar siunčia kaimynų aptikimą fizine jungtimi, elgiasi taip, kaip suprojektuotas.

Programa, sąmoningai išbraukta iš tunelio, yra kitas atvejis nei šeima, kurios tunelis niekada nenešė. Pirmasis yra sprendimas dėl vienos programos, antrasis — spraga padengime, ir taisymas atitinkamai skiriasi. Perskaitykite kliento išbrauktų programų sąrašą prieš ieškodami maršruto, kurio niekada neturėjo būti.

Siauras stebėjimas, kai lentelė prieštarauja

Kai maršruto paieška dviprasmiška, vienas sąsajos stebėjimas pagrindiniame kompiuteryje gali tai išspręsti, bet tik jei jis nukreiptas į klausimą. Srautas į patį VPN galinį tašką pagal projektą kirs fizinį adapterį; svarbu, ar programos srautas, adresuotas visiškai kitur, taip pat pasirodo ten. Filtruokite įrašą pagal tikrinamą paskirties vietą, o ne rinkite viską.

Platus įrašas atskleidžia daug daugiau asmeninio srauto, nei reikalauja tas vienas klausimas. Jis ir atsako ne taip aiškiai, nes jus dominantis srautas atvyksta palaidotas nesusijusių ryšių sraute. Filtruokite pagal išbandytą paskirties vietą, sustokite po kelių paketų ir ištrinkite įrašą.

Trys būdai uždaryti spragą

Perduokite šeimą per tunelį, blokuokite ją kliente, kai tunelis negali jos pernešti, arba užregistruokite sąmoningą išimtį su savininku ir peržiūros data. Kiekvienas yra apginamas, o vienintelis neapginamas dalykas yra palikti pasirinkimą numanomą, nes numanomas pasirinkimas ir yra būtent tai, kas yra nutekėjimas. Jei tunelis apskritai neturi v6 išėjimo, atsisakyti v6 kliente yra ir sąžininga, ir patikrinama. Svarbiausia, kad pasirinkimas būtų užrašytas ten, kur jį ras kitas žmogus, o ne po pusės metų nuspėtas iš elgesio.

Pakartokite patikrą po prisijungimo iš naujo ir po persikėlimo tarp tinklų, nes ankstesnei jungčiai įdiegtas maršrutas gali pergyventi pokytį. Tada užrašykite paskirties vietą, pasirinktą maršrutą, kliento politiką ir šeimą, kurią naudojo bandymas, kad kitas žmogus skaitytų sprendimą, o ne išvestų jį iš naujo. RFC 7359 dokumentuoja dvigubo kamino nutekėjimą kaip projektavimo problemą, o ne klaidą, ir tai yra nuoroda, kurią cituoti, kai kas nors teigia, kad veikiantis v4 tunelis apima viską.