Kā pārbaudīt IPv6 caur VPN ar savu resursu

Publiska IP pārbaudes lapa atbild uz vienu jautājumu, un parasti ne uz to, ko jūs uzdevāt. Tā norāda izejas adresi, ko lapa redzēja; tā nepasaka, vai IPv6 maršruts caur tuneli darbojas, vai resursdators deva priekšroku IPv6 vai atkāpās, vai izslēgta lietotne izvēlējās citu ceļu. Jūsu kontrolētais atļautais resurss pareizi atbild uz šaurāko jautājumu, jo jūs redzat abus galus. Tālāk sniegtā instrukcija ir par aizstāvamu secinājumu, nevis par zaļu rezultātu.

1. solis: pasakiet, kuru IPv6 ceļu jūs pārbaudāt

Pasakiet to vienā teikumā. Pieprasījums uz paša tuneļa servera IPv6 adresi pārbauda tuneli; pieprasījums uz resursdatoru aiz izejas pārbauda izejas IPv6 izplūdi; pieprasījums uz privātu IPv6 adresi pārbauda iekšējo maršrutu.

Tie ir trīs dažādi apgalvojumi, un viens veiksmīgs pieprasījums nevar pamatot visus. Izvēlieties to, kas svarīgs jūsu priekšā esošajam lēmumam, un pierakstiet to pirms kaut kā palaišanas. Ja bažas ir par to, vai IPv6 neizplūst ap tuneli, jautājums ir par resursdatora maršruta izvēli, nevis par izejas sasniedzamību. Ja bažas ir par to, vai tālā puse sasniedz iekšējo pakalpojumu, izeja nav svarīga.

2. solis: apstipriniet, ka resursdators izvēlas šo maršrutu

ip -6 route get 2001:db8:1::10 izdrukā maršrutu, avota adresi un saskarni, ko izmantotu kodols, un no šī fakta ir atkarīga pārējā testa daļa.

Saskarnes pastāvēšana nav tas pats, kas tās izvēle. Divu steku resursdatoriem ir prioritāšu tabula, un Linux sistēmā /etc/gai.conf var mainīt, kura saime uzvar vārdam, kas atrisinās uz abām.

3. solis: izmantojiet likumīgu galamērķi un nosaukumu

Ja pārbaudāt HTTPS, izmantojiet to resursdatora nosaukumu, kuram tika izsniegts sertifikāts, un atstājiet pārbaudi ieslēgtu; pāreja uz burtisku adresi, lai tests izietu, izslēdz tieši to pārbaudi, kas pierāda, ka esat sasniedzis paredzēto resursdatoru. Jūsu kontrolētais diagnostikas pakalpojums, kas atbild uz zināmu nosaukumu ar derīgu sertifikātu, ir vistīrākais mērķis. Tas arī dod servera puses žurnāla rindu salīdzināšanai, ko trešās puses pārbaudītājs nekad nedos.

Palaidiet pieprasījumu tādā formā, kas parāda izmantoto adresi: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Opcija -6 uzspiež saimi, un tā jūs atdalāt „IPv6 nedarbojas“ no „IPv6 netika izvēlēts“.

Tīram sasniedzamības testam, kur ICMPv6 ir atļauts, pietiek ar ping -6 -c 3 2001:db8:1::10. Tas pierāda ceļu un neko virs tā.

4. solis: salīdziniet abus galus

Kad jums ir piekļuve abiem galiem, palaidiet tcpdump -ni any ip6 and host 2001:db8:1::10 klientā un tā ekvivalentu resursā ar laika zīmogiem un apstipriniet, ka tas pats plūsma parādās abos. Tieši tas pārvērš ticamu rezultātu pierādījumā: tikai klienta skats nevar atšķirt resursa atbildi no atbildes no kaut kā starpā. Turiet uztveršanu šauru uz vienu galamērķi, lai izvade paliktu lasāma un neviena nesaistītā sesija nenokļūtu failā.

Atkārtojiet testu pēc atkārtotas pievienošanās, ja bažas ir par to, vai politika pārdzīvo restartu. Maršruta un ugunsmūra stāvoklis, kas piemērots vienreiz savienojoties, var atšķirties no stāvokļa, kas tiek piemērots atkārtoti, un atšķirība parādās tikai otrajā savienojumā.

Atsevišķi pārbaudiet atteices gadījumu, ja tas ir vajadzīgs. Tunelis, kas bloķē IPv6, kad tas nokrīt, un tunelis, kas to izlaiž, ir dažādi risinājumi, un tikai vienu no tiem var apstiprināt ar veiksmīgu pieprasījumu.

5. solis: pierakstiet, ko tests nepierādīja

Piektais solis ir pierakstīt, ko tests nepierādīja, un tieši šī daļa parasti tiek izlaista. Veiksmīgs privāta galapunkta tests nepierāda publisku IPv6 izeju, nepierāda DNS uzvedību un neaptver lietotnes, ko izslēdzāt no tuneļa. Katram no tiem vajag savu galamērķi un savu novērojumu. Piezīme, ka IPv6 darbojas pēc viena pieprasījuma uz vienu resursdatoru, nav atradums; tas ir minējums ar laika zīmogu.

Ieraksts, ko ir vērts saglabāt, ir īss: galamērķis, nosaukums, resursdatora izvēlētā avota adrese, novērotā attālā adrese un laiks. RFC 7359 aplūko, kā pārbaudīt, vai attiecīgais IPv6 ceļš patiešām ir izmantojams, un tas ir standarts, kuram šī instrukcija tuvojas ar vienkāršākiem rīkiem. Ja secinājumam, lai tas būtu patiess, vajadzīgs publisks pārbaudītājs, tests nebija pietiekami konkrēts.