Kāpēc IPv6 adrese mainās, kamēr VPN paliek ieslēgts

Divi ekrānuzņēmumi ar stundas starpību rāda atšķirīgas IPv6 avota adreses, un acīmredzamais nolasījums ir tāds, ka tunelis noplūdis vai atkārtoti pieslēdzies. Parasti nenotika neviens no abiem. Resursdators izmanto pagaidu adreses, operētājsistēmas privātuma funkciju, kas pēc taimera rotē saskarnes identifikatoru. Salīdzinājums šķita pārliecinošs tikai tāpēc, ka pieņēma lauku, kas nekad nebija stabils.

Ko pagaidu adrese patiešām rotē

Pagaidu adrese tiek veidota no saskarnes prefiksa un identifikatora, ko resursdators maina, un tai ir vēlamais un derīgais darbības laiks. Pirms derīgā laika beigām resursdators ģenerē aizstājēju, tāpēc divi savienojumi var likumīgi iziet no dažādiem avotiem. Vietējās saites adrese un pats prefikss paliek savās vietās, un tā tīkls joprojām atpazīst mašīnu.

Nekas šajā rotācijā nepadara kontu, sīkfailu vai pārlūkošanas modeli anonīmu. Vietnei, kas vēlas jūs atpazīt, ir sīkfaili, pieteikšanās un pirkstu nospiedumi, un mainīgā avota adrese pret tiem gandrīz neskaitās. Rotācija maina vienu lauku paketes galvenē, un šis lauks nekad nav bijis vienīgais identifikators ceļā.

Vietne redz vienu adresi, resursdatoram ir vairākas

Serveris reģistrē saņemtā pieprasījuma avotu, neko vairāk. Resursdatoram var būt vairākas adreses ar atšķirīgu tvērumu un darbības laiku, un tas, kura uzvar, ir atkarīgs no adreses izvēles noteikumiem un no galamērķa. Vietnes vērtības lasīšana kā mašīnas adreses ir vieta, kur šī neskaidrība sākas. Viens resursdators vienā mirklī var izskatīties kā divas mašīnas divām vietnēm, vienkārši tāpēc, ka katrs savienojums izvēlējās citu adresi.

Testa laikā apskatiet saskarni ar ip -6 addr show dev eth0: vairākas adreses ar to darbības laikiem nozīmē, ka rotācija pastāv pēc projekta. Pēc tam pajautājiet kodolam, kuru maršrutu tas izmantotu ar ip -6 route get 2001:db8:10::5, kas izdrukā ierīci un vēlamo avotu šim galamērķim.

Salīdziniet prefiksu, saskarni un maršrutu, nevis virkni

VPN testēšanā jautājums ir, vai pakete izgāja caur tuneli, un tas ir maršrutēšanas un politikas jautājums. Avota adrese tam ir vājš rādītājs: adrese, kas rotē tuneļa saskarnē, joprojām ir tunelī. Tunelis, kas atkārtoti pieslēdzas, parasti pārbīda prefiksu vai ierīci, un šīs izmaiņas ir redzamas, nelasot pilnu adresi.

Tāpēc salīdziniet izvēlēto maršrutu, saskarni, pa kuru pakete izgāja, un prefiksu, ko tā nesa. Šie trīs paliek pietiekami stabili starp palaidēm, un katrs nozīmē ko citu, kad mainās.

Izmaiņa ir svarīga, kad mainās prefikss, kad mainās saskarne vai kad maršruts uz galamērķi pārstāj izmantot tuneli. Izmaiņa tikai saskarnes identifikatorā, ar to pašu prefiksu un to pašu ierīci, ir privātuma uzvedība, kas darbojas kā paredzēts. Ja pārvietojās tikai identifikators, tests izmērīja privātuma taimeri, nevis pārklājumu. Pierakstiet, kurš no trim pārvietojās, pirms vainojat tuneli.

Neizslēdziet IPv6, lai ekrānuzņēmumi sakristu

IPv6 izslēgšana liek atkārtotiem testiem sakrist, un tā arī noņem veselu adrešu saimi no tīkla, kuru jūsu tunelim jāpārklāj. Kad politika ir pārvadāt IPv6, tā izslēgšana slēpj pārklājuma robu, nevis to aizver.

Ja politika ir bloķēt IPv6, līdz tas tiks atbalstīts, bloķējiet to apzināti un pierakstiet lēmumu. Nākamajam administratoram ir jāredz atšķirība starp dokumentētu bloķēšanu un izslēgtu steku.

Ko pierakstīt un ko var pierādīt viens tests

Pierakstiet prefiksu, saskarnes nosaukumu, izvēlēto maršrutu, galamērķi un laika zīmi, un blakus pilnu adresi. Pagaidu adrešu specifikācija skaidro darbības laikus, kas dzen rotāciju, tāpēc pilna adrese ir vismazāk stabilais lauks pierakstā. Divu no trim stabiliem laukiem sakritība starp palaidēm ir spēcīgāks pierādījums nekā jebkura atsevišķa adreses sakritība.

Viens tests ir viens viena pieprasījuma novērojums. Pieraksts ir tas, kas nākamo novērojumu pārvērš salīdzinājumā. Saglabājiet abus, un nākamā nesakritība izmaksās vienu skatienu, nevis visu pēcpusdienu.