IPv6 datplūsma ārpus VPN: atrast noplūsto maršrutu

Divas testa lapas nesaskan: viena ziņo pakalpojumu sniedzēja adresi caur tuneli, otra ziņo jūsu mājas prefiksu, un acīmredzamais secinājums ir, ka VPN noplūst. Šis secinājums izlaiž vienu soli, jo abi ziņojumi izmantoja divus dažādus maršrutēšanas lēmumus, un tunelī vajadzēja iekļūt tikai vienam no tiem. Robs parasti ir īsts, un tā ir pārklājuma problēma, nevis salauzts tunelis. Trīs jautājumi to atrisina: kura plūsma patiešām izgāja, kuru maršrutu kodols tai izvēlējās un kādu uzvedību klients bija iecerējis.

Strādājiet šādā secībā. Atbildēšana citā secībā rada garu diskusiju par to, vai klientam ir defekts, lai gan īstā atbilde ir tāda, ka IPv6 maršruts nekad netika instalēts.

Kura plūsma patiešām izgāja un pa kuru adapteri

Sāciet ar testu, kas nosauc izmantoto saimi, pēc tam pierakstiet lietojumprogrammu, piekļuves tīklu, spēkā esošo profilu un to, vai savienojums vispār piedāvā IPv6. Šie četri fakti padara divus izpildījumus salīdzināmus, un ceturto cilvēki aizmirst: tīkls bez v6 prefiksa nevar noplūst v6, un tīkls, kas vēlāk pievieno vienu, maina atbildi.

Sūtiet vienu pieprasījumu uz katru saimi, nevis ielādējiet lapu un lasiet tās rezultātu. Viena lapa var sajaukt v6 un v4 resursus, fona process var uzvesties citādi nekā priekšā esošā cilne, un kešatmiņā saglabāta atbilde var pārdzīvot tīkla izmaiņas, ko mēģināt pārbaudīt. Fiksējiet pārbaudāmo galamērķi un pierakstiet to, lai atkārtots izpildījums mērītu to pašu.

Lasīt maršrutu, ko izvēlējās kodols

Maršrutu tabula atbild uz jautājumu, uz kuru pārlūks nevar. Pajautājiet sistēmai, kurp dosies konkrēts galamērķis, un iekļaujiet gan politikas noteikumus, gan redzamo noklusējumu, jo abi var to pārrakstīt:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Konkrētāks prefikss ir parastais iemesls, kāpēc viens galamērķis paliek ārpus tuneļa, kamēr viss pārējais paliek iekšā, un politikas noteikums var izdarīt to pašu ar augstāku prioritāti nekā jebkurš maršruts. Lasiet arī metriku, jo divi viena prefiksa ieraksti tiek izšķirti pēc metrikas, nevis pēc to secības ekrānā. Operētājsistēmā Windows līdzvērtīgais saraksts ir Get-NetRoute -AddressFamily IPv6, sakārtots pēc metrikas, lai atbilstu lēmuma secībai. Noteikums, kas tabulā izskatās pareizs, tomēr var zaudēt politikas noteikumam ar zemāku numuru, tāpēc noteikumu saraksts iet vienā elpas vilcienā ar maršrutu sarakstu.

No kurienes nāk klienta IPv6 politika

Klients var būt veidots tā, lai vadītu v6 caur tuneli, lai to atteiktu vai lai atļautu nosauktu izņēmumu, un šie trīs nodomi dod trīs dažādus pareizus rezultātus. Izlasiet profilu un paša klienta dokumentāciju pirms novērojuma nosaukšanas par noplūdi, jo klients, kas bloķē v6, kamēr operētājsistēma joprojām sūta kaimiņu atklāšanu fiziskajā saitē, uzvedas tā, kā projektēts.

Lietojumprogramma, kas apzināti izslēgta no tuneļa, ir cits gadījums nekā saime, ko tunelis nekad nav nesis. Pirmais ir lēmums par vienu programmu, otrais ir robs pārklājumā, un labojums attiecīgi atšķiras. Izlasiet klienta izslēgto programmu sarakstu pirms maršruta meklēšanas, kam nekad nevajadzēja pastāvēt.

Šaurs novērojums, kad tabula ir pretrunā

Kad maršruta meklēšana ir divdomīga, viens saskarnes novērojums resursdatorā to var izšķirt, bet tikai tad, ja tas ir vērsts uz jautājumu. Datplūsma uz pašu VPN galapunktu pēc projekta šķērsos fizisko adapteri; svarīgi ir tas, vai tur parādās arī lietojumprogrammas plūsma, kas adresēta pavisam citur. Filtrējiet ierakstu uz pārbaudāmo galamērķi, nevis vāciet visu.

Plašs ieraksts atklāj daudz vairāk personiskās datplūsmas, nekā prasa tas viens jautājums. Tas arī atbild mazāk skaidri, jo plūsma, kas jūs interesē, ierodas aprakta nesaistītu savienojumu straumē. Filtrējiet uz pārbaudīto galamērķi, apstājieties pēc dažām paketēm un izdzēsiet ierakstu.

Trīs veidi, kā aizvērt robu

Vediet saimi caur tuneli, bloķējiet to klientā, kad tunelis to nevar nest, vai reģistrējiet apzinātu izņēmumu ar īpašnieku un pārskatīšanas datumu. Katrs ir aizstāvams, un vienīgais, kas nav aizstāvams, ir atstāt izvēli netiešu, jo netieša izvēle ir tieši tas, kas ir noplūde. Ja tunelim vispār nav v6 izejas, atteikšanās no v6 klientā ir gan godīga, gan pārbaudāma. Svarīgi, lai izvēle būtu pierakstīta tur, kur to atradīs nākamais cilvēks, nevis pēc pusgada secināta no uzvedības.

Atkārtojiet pārbaudi pēc atkārtotas pieslēgšanās un pēc pārvietošanās starp tīkliem, jo iepriekšējai saitei instalētais maršruts var pārdzīvot izmaiņas. Pēc tam pierakstiet galamērķi, izvēlēto maršrutu, klienta politiku un saimi, ko testā izmantoja, lai nākamais cilvēks lasītu lēmumu, nevis to no jauna atvasinātu. RFC 7359 dokumentē dubultās kaudzes noplūdi kā projektēšanas problēmu, nevis kļūdu, un tas ir atsauce, uz ko atsaukties, kad kāds apgalvo, ka strādājošs v4 tunelis nosedz visu.