IPv6 сообраќај покрај VPN: пронајди ја рутата што протекува

Две тест-страници не се согласуваат: едната ја пријавува адресата на провајдерот низ тунелот, втората го пријавува твоето домашно префикс, и очигледниот заклучок е дека VPN протекува. Тој заклучок прескокнува еден чекор, бидејќи двата извештаи активираа две различни одлуки за рутирање и само една од нив требаше да влезе во тунелот. Празнината обично е вистинска, и тоа е проблем на покриеност, а не расипан тунел. Три прашања го решаваат тоа: кој тек навистина излезе, која рута ја избра јадрото за него и какво однесување имал клиентот намера.

Работи во тој редослед. Да се одговори надвор од редослед создава долга дебата за тоа дали клиентот е дефектен, кога вистинскиот одговор е дека никогаш не била инсталирана IPv6 рута.

Кој тек навистина излезе и на кој адаптер

Започни со тест што го именува користеното семејство, потоа запиши ја апликацијата, пристапната мрежа, активниот профил и дали врската воопшто нуди IPv6. Тие четири факти ги прават двата извршувања споредливи, а четвртиот луѓето го забораваат: мрежа без v6 префикс не може да протекува v6, а мрежа што додава еден подоцна го менува одговорот.

Испрати едно барање по семејство наместо да вчиташ страница и да го читаш нејзиниот резултат. Една страница може да меша v6 и v4 ресурси, позадински процес може да се однесува поинаку од јазичето пред тебе, а кеширан одговор може да го надживее мрежното менување што се обидуваш да го тестираш. Фиксирај ја дестинацијата што ја тестираш и запиши ја, за повторено извршување да мери исто.

Читање на рутата што ја избра јадрото

Табелата со рути одговара на прашањето на кое прелистувачот не може. Прашај го системот каде би одела определена дестинација, и вклучи ги и правилата за политика и видливиот стандарден пат, бидејќи и двете можат да го надгласат:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Поконкретен префикс е вообичаената причина една дестинација да остане надвор од тунелот додека сѐ друго останува внатре, а правило за политика може да го стори истото со повисок приоритет од која било рута. Прочитај и ја метриката, бидејќи два записи за ист префикс се решаваат по метрика, а не по нивниот ред на екранот. На Windows еквивалентниот список е Get-NetRoute -AddressFamily IPv6, подреден по метрика за да одговара на редот на одлуката. Правило што изгледа точно во табелата сепак може да загуби од правило за политика со понизок број, затоа списокот со правила оди во истиот здив со списокот со рути.

Од каде доаѓа IPv6 политиката на клиентот

Клиентот може да биде изграден за да го пренесува v6 низ тунелот, да го одбие или да дозволи именуван исклучок, и тие три намери даваат три различни точни резултати. Прочитај го профилот и документацијата на самиот клиент пред набљудување да го наречеш протекување, бидејќи клиент што го блокира v6 додека оперативниот систем сѐ уште праќа откривање на соседи на физичката врска се однесува како што е проектиран.

Апликација намерно исклучена од тунелот е различен случај од семејство што тунелот никогаш не го носел. Првото е одлука за една програма, второто е празнина во покриеноста, и поправката се разликува соодветно. Прочитај го списокот исклучени програми на клиентот пред да бараш рута што никогаш не требало да постои.

Тесно набљудување, кога табелата противречи

Кога пребарувањето на рута е двосмислено, едно набљудување на интерфејсот на домаќинот може да го реши, но само ако е насочено кон прашањето. Сообраќајот кон самата крајна точка на VPN по проект ќе го помине физичкиот адаптер; важно е дали таму се појавува и текот на апликацијата, адресиран сосема на друго место. Филтрирај го снимањето на дестинацијата што ја тестираш наместо да собираш сѐ.

Широко снимање открива многу повеќе личен сообраќај отколку што бара тоа едно прашање. Исто така одговара помалку јасно, бидејќи текот што те интересира пристигнува закопан во поток од неповрзани врски. Филтрирај на тестираната дестинација, запре по неколку пакети и избриши го снимањето.

Три начини да се затвори празнината

Пренеси го семејството низ тунелот, блокирај го во клиентот кога тунелот не може да го носи, или забележи намерен исклучок со сопственик и датум на преглед. Секое е одбранливо, а единственото неодбранливо е изборот да остане имплицитен, бидејќи имплицитниот избор е токму она што е протекувањето. Ако тунелот воопшто нема v6 излез, одбивањето на v6 во клиентот е и искрено и проверливо. Важно е изборот да биде запишан таму каде што ќе го најде следниот човек, а не да се заклучи од однесување по шест месеци.

Повтори ја проверката по повторно поврзување и по преместување меѓу мрежи, бидејќи рута инсталирана за претходната врска може да го надживее менувањето. Потоа запиши ја дестинацијата, избраната рута, политиката на клиентот и семејството што го користеше тестот, за следниот човек да чита одлука наместо повторно да ја изведува. RFC 7359 документира протекување на двоен стек како дизајнерски проблем, а не како грешка, и тоа е референцата што се цитира кога некој тврди дека работен v4 тунел покрива сѐ.