Како да тестирате IPv6 преку VPN со сопствен ресурс

Јавната страница за проверка на IP одговара на едно прашање, и обично не на тоа што сте го поставиле. Таа ви ја кажува излезната адреса што ја виде страницата; не ви кажува дали работи патеката IPv6 низ тунелот, дали домаќинот дал предност на IPv6 или се повлекол, или дали исклучена апликација тргнала по друг пат. Овластен ресурс што го контролирате одговара правилно на потесното прашање, затоа што ги гледате двата краја. Упатството подолу е за добивање заклучок што можете да го одбраните, а не за зелен резултат.

Чекор 1: кажете која патека IPv6 ја тестирате

Кажете го тоа во една реченица. Барањето до сопствената адреса IPv6 на серверот на тунелот го тестира тунелот; барањето до домаќин зад излезот го тестира излезот IPv6 на излезот; барањето до приватна адреса IPv6 тестира внатрешна патека.

Тоа се три различни тврдења и едно успешно барање не може да ги поддржи сите. Изберете го она што е важно за одлуката пред вас и запишете го пред да пуштите нешто. Ако грижата е дали IPv6 истекува околу тунелот, прашањето е за изборот на патека од домаќинот, не за достапноста на излезот. Ако грижата е дали далечната страна може да стигне до внатрешна услуга, излезот е неважен.

Чекор 2: потврдете дека домаќинот ја избира таа патека

ip -6 route get 2001:db8:1::10 ја печати патеката, изворната адреса и интерфејсот што јадрото би го користело, и од овој факт зависи остатокот од тестот.

Постоењето на интерфејс не е исто како неговиот избор. Домаќините со двоен стек имаат табела за приоритет, и /etc/gai.conf во Linux може да смени која фамилија победува за име што се решава на двете.

Чекор 3: користете законска дестинација и име

Ако тестирате HTTPS, користете го името на домаќинот за кое е издаден сертификатот и оставете ја проверката вклучена; преминот на буквална адреса за тестот да помине ја исклучува токму проверката што докажува дека сте стигнале до предвидениот домаќин. Дијагностичка услуга што ја контролирате, која одговара на познато име со валиден сертификат, е најчистата цел. Таа ви дава и ред во дневникот на страната на серверот за споредба, што проверувач од трета страна никогаш нема да ви даде.

Пуштете го барањето во форма што ја покажува употребената адреса: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Опцијата -6 ја наметнува фамилијата и така го одделувате „IPv6 не работи“ од „IPv6 не беше претпочитан“.

За чиста проверка на достапност каде ICMPv6 е дозволен, доволна е ping -6 -c 3 2001:db8:1::10. Таа ја докажува патеката и ништо над неа.

Чекор 4: спојте ги двата краја

Кога имате пристап до двата краја, пуштете tcpdump -ni any ip6 and host 2001:db8:1::10 на клиентот и еквивалентот на ресурсот, со временски ознаки, и потврдете дека истиот тек се појавува на двете. Тоа е она што веројатниот резултат го претвора во доказ: глетката на клиентот сама не може да разликува одговор од ресурсот од одговор од нешто помеѓу. Држете го снимањето тесно на една дестинација за излезот да остане читлив и нечија неврзана сесија да не заврши во датотеката.

Повторете го тестот по повторно поврзување ако грижата е дали политиката преживува рестарт. Состојбата на патеката и огнениот ѕид применета еднаш при поврзувањето може да се разликува од состојба што се применува повторно, а разликата се покажува само при второто поврзување.

Тестирајте го случајот на неуспех одделно ако ви треба. Тунел што блокира IPv6 кога паѓа и тунел што го пропушта се различни конструкции, и само еден од нив може да се потврди со успешно барање.

Чекор 5: запишете што тестот не докажал

Петтиот чекор е да запишете што тестот сѐ уште не докажал, и токму тој дел се испушта. Успешен тест на приватна крајна точка не докажува јавен излез IPv6, не докажува однесување на DNS и не ги покрива апликациите што ги исклучивте од тунелот. Секое од нив бара своја дестинација и свое набљудување. Белешка што вели дека IPv6 работи по едно барање до еден домаќин не е наод; тоа е претпоставка со временска ознака.

Записот што вреди да се сочува е краток: дестинацијата, името, изворната адреса што ја избра домаќинот, забележаната оддалечена адреса и времето. RFC 7359 расправа како да се тестира дека релевантна патека IPv6 е навистина употреблива, и тоа е стандардот кон кој ова упатство се приближува со поедноставни алатки. Ако заклучокот бара јавен проверувач за да биде вистинит, тестот не бил доволно конкретен.