Globāla IPv6 adrese nenozīmē, ka trafiks apiet tuneli

Testa lapa ziņo par globālu IPv6 adresi, un secinājums uzreiz lec pie trafika, kas apiet VPN. Šim secinājumam vajadzīgi divi fakti, ko lapa nekad neparādīja: kura lietotne veica pieprasījumu un kādu maršrutu tam izvēlējās kodols. Adreses tvērums apraksta, cik tālu adresi drīkst maršrutēt. Tas neko nepasaka par to, kur aizgāja tieši šī pakete.

Tvērums un loma ir dažādi jautājumi ar dažādiem pierādījumiem.

Tvērums atbild, kas to drīkst maršrutēt, nevis kas to dara

Globālās unicast adreses principā ir maršrutējamas publiskajā internetā, unikālās lokālās adreses ir paredzētas iekšējai topoloģijai, un saites lokālās adreses pastāv tikai vienā saitē. Tās ir adrešu bloka īpašības. To, vai pakete uz noteiktu galamērķi iziet caur tuneli, nosaka maršrutēšanas tabula un saskarnei piesaistītā politika, un abas var norādīt jebkurā virzienā.

Adrese var būt ar globālu tvērumu un tomēr tikt pārvadāta tuneļa iekšienē, jo tunelis ir ceļš, nevis adrešu plāns.

Lasiet visas saskarnes adreses, nevis tīmekļa testu

Saskarnes izvade rāda vairākas adreses vienlaikus: ārējo adresi fiziskajā saitē, tuneļa adresi un saites lokālo adresi katrai saskarnei. Tīmekļa tests rāda tikai viena pieprasījuma avota adresi. Sāciet ar ip -6 addr show un pierakstiet, kurai saskarnei pieder katra adrese un kādu prefiksa garumu tā nes, tad pajautājiet, kuru saskarni pieprasījums patiešām izmantoja.

Salīdziniet to ar ip -6 route get 2606:4700::1111, kas izdrukā saskarni un avotu, ko kodols izvēlētos galamērķim.

Kā globāls prefikss nonāk tuneļa iekšienē

Divi risinājumi rada globālu adresi tuneļa saskarnē. Pakalpojumu sniedzējs var deleģēt prefiksu, kas tiek maršrutēts klientam caur tuneli, kas padara adresi globālu, kamēr ceļš joprojām ir tunelis. Vai arī klients saglabā savu sākotnējo globālo adresi, un tunelis to pārvadā kā iekšējo trafiku, kamēr ārējā galvene veic darbu. Neviens risinājums neprasa tulkojumu, un apjukums sākas tur, kur IPv4 NAT ieradumus uzskata par IPv6 prasību.

Pajautājiet administratoram, kurš no diviem ir spēkā. Atbilde nosaka, ko serveris otrā pusē redz kā jūsu avotu.

Kāpēc privāti izskatīga adrese nav uzticēšanās signāls

Unikāla lokālā adrese saka, ka operators to paredzējis iekšējai maršrutēšanai, un ne vairāk. Tā nepierāda, ka ierīce tiek pārvaldīta, programmatūra ir uzticama vai trafiks ir šifrēts. Gluži pretēji, globāla adrese nepierāda, ka trafiks ir izbēdzis no tuneļa, un tieši šo pieņēmumu viss šis raksts ir radīts, lai sagrautu.

Vērtējiet uzticēšanos pēc politikas, autentifikācijas un šifrēšanas. Adreses izskats ir vāja heiristika, kas neizdodas abos virzienos.

Pārbaudiet maršrutu un politiku kā divus jautājumus

Vispirms maršruts: palaidiet curl -6 https://ifconfig.me caur tuneli un vēlreiz caur fizisko saskarni, un salīdziniet atbildes. Otrais ir politika: apstipriniet, kādu prefiksu tunelis patiešām nes un vai otrai pusei ir atgriešanās maršruts tam. Veiksmīgs pieprasījums uz publisku vietni nepierāda ne vienu, jo šo galamērķi var sasniegt no jebkurienes. Politikas testam izmantojiet iekšēju galamērķi.

Pierakstiet avota adresi, ko radīja katrs ceļš. Tas ir pierādījums, kas apgalvojumam par apiešanu patiešām vajadzīgs.