Глобалната IPv6-адреса не значи дека сообраќајот го заобиколува тунелот

Тест-страница пријавува глобална IPv6-адреса и заклучокот веднаш скока на сообраќај што го заобиколува VPN. Тој заклучок бара два факти што страницата никогаш не ги покажа: која апликација го испрати барањето и која рута го избра јадрото за него. Опсегот на адресата опишува до каде адресата смее да се рутира. Тој не кажува ништо за тоа каде отиде токму овој пакет.

Опсег и улога се различни прашања со различни докази.

Опсегот одговара кој смее да ја рутира, а не кој го прави тоа

Глобалните unicast-адреси во принцип се рутираат на јавниот интернет, единствените локални адреси се наменети за внатрешна топологија, а локалните адреси на врската постојат само на една врска. Тоа се својства на блокот адреси. Дали пакетот до дадена дестинација излегува низ тунелот, го одлучуваат табелата за рутирање и политиката врзана за интерфејсот, и двете можат да покажуваат во која било насока.

Адресата може да има глобален опсег и сепак да се носи внатре во тунел, зашто тунелот е пат, а не план на адреси.

Читајте ги сите адреси на интерфејсот, а не веб-тестот

Излезот од интерфејсот покажува неколку адреси одеднаш: надворешната адреса на физичката врска, адресата на тунелот и локална адреса на врската за секој интерфејс. Веб-тестот покажува само изворната адреса на едно барање. Започнете со ip -6 addr show и забележете кој интерфејс ја има секоја адреса и која должина на префиксот ја носи, па прашајте кој интерфејс барањето навистина го користело.

Споредете го тоа со ip -6 route get 2606:4700::1111, кој го печати интерфејсот и изворот што јадрото би ги избрало за дестинација.

Како глобален префикс завршува внатре во тунел

Два дизајна даваат глобална адреса на интерфејс на тунел. Провајдерот може да делегира префикс што се рутира до клиентот низ тунелот, што ја прави адресата глобална додека патот сѐ уште е тунелот. Или клиентот ја задржува својата изворна глобална адреса и тунелот ја носи како внатрешен сообраќај додека надворешното заглавие ја врши работата. Ниту еден дизајн не бара превод, а забуната започнува таму каде што навиките на IPv4 NAT се земаат како услов за IPv6.

Прашајте го администраторот кој од двата важи. Одговорот одредува што гледа серверот од другата страна како ваш извор.

Зошто адреса што изгледа приватна не е сигнал за доверба

Единствената локална адреса кажува дека операторот ја наменува за внатрешно рутирање, и ништо повеќе. Таа не докажува дека уредот е управуван, софтверот е доверлив или сообраќајот е шифриран. Обратно, глобалната адреса не докажува дека сообраќајот избегал од тунелот, а токму таа претпоставка целиот овој текст постои за да ја разбие.

Проценете ја довербата според политиката, автентикацијата и шифрирањето. Изгледот на адресата е слаба хеуристика што пропаѓа во двете насоки.

Тестирајте рута и политика како две прашања

Прво рутата: извршете curl -6 https://ifconfig.me низ тунелот и повторно низ физичкиот интерфејс, па споредете ги одговорите. Второ политиката: потврдете кој префикс тунелот навистина го носи и дали другата страна има повратна рута за него. Успешното барање до јавен сајт не докажува ниту едно, зашто до таа дестинација може да се стигне од каде било. Користете внатрешна дестинација за тестот на политиката.

Запишете ја изворната адреса што ја создаде секој пат. Тоа е доказот што тврдењето за заобиколување навистина го бара.