Хос стек VPN: хаягийн гэр бүлийг клиент сонгодог, та биш

Туннель ажиллаж байна, IPv4 сайтууд ачаалж байна, нэг хостын нэр хугацаа хэтэрч байна. Шууд дүгнэлт нь VPN эвдэрсэн эсвэл нэвтрэх мэдээлэл буруу гэсэн байдаг бөгөөд ихэвчлэн аль нь ч үнэн биш. Нэр нь IPv4 болон IPv6 хаягийг хоёуланг нь буцаасан, програм нэгийг сонгосон, тэдгээр нэр дэвшигчдийн зөвхөн нэг нь л ажилладаг замтай байв. Сонголтыг клиент хийсэн; туннель зүгээр л түүний сонгосныг хаагаагүй.

Сонголт бол хамрах хүрээний амлалт биш

RFC 6724-д тодорхойлсон хаягийн өгөгдмөл сонголт нь хэд хэдэн сонголт байгаа үед хост аль эх үүсвэр, очих газрын хосыг илүүд үзэхийг тодорхойлно. Happy Eyeballs үүн дээр холболтын стратеги нэмдэг: хоёр гэр бүлд оролдлого эхлүүлж, эхлээд хариу өгснийг нь үлдээдэг тул хэрэглэгч эвдэрсэн гэр бүлийн хугацаа дуустал хүлээхгүй.

Аль ч механизм зам үүсгэхгүй. Хэрэв таны туннель зөвхөн IPv4 зөөвөрлөж байвал AAAA нэр дэвшигч нь клиентийн туршиж болох хууль ёсны очих газар хэвээр байх бөгөөд алдаа нь алдаа биш, удаан ачаалал хэлбэрээр илэрнэ, учир нь хөтөч буцаж унасан. Хэрэглэгч эвдэрсэн сайт биш, удаан сайт гэж мэдээлдэг бөгөөд дэмжлэгийн тасалбар тэр тодорхой бус байдлыг өвлөн авдаг. Үүнийг тогтмол гэр бүлээр дахин гарга, тайлан тодорхой болно.

Тэр буцаж уналтаас л шинж тэмдэг програмуудын хооронд нийцэхгүй байдаг. Хөтөч саатал нуудаг; тогтмол гэр бүлтэй командын мөрийн клиент жинхэнэ алдааг шууд харуулдаг.

Хүсэлт бодитоор аль гэр бүлийг ашигласныг ол

Туннель биш, нэрээр эхэл. Хоёр төрлийн бичлэгийг асууж, юу буцаж ирснийг тэмдэглэ:

dig +short A example.com
dig +short AAAA example.com
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://example.com
curl -6 -sS -o /dev/null -w '%{http_code}\n' https://example.com

Хэрэв v4 хүсэлт амжилттай, v6 хүсэлт бүтэлгүйтвэл асуудлыг засварлаж болох хэлбэрээр дахин гаргасан байна. Хэрэв хоёулаа бүрхүүлээс амжилттай болж, хөтөч дахиад бүтэлгүйтвэл туннельд хүрэхээс өмнө програмын өөрийн шийдэгч эсвэл кэшлэсэн хариуг хар.

Гэр бүл, очих газрыг тэмдэглэлдээ хадгал. VPN-ээр сайт ачаалагдахгүй гэсэн тасалбарыг хэн ч шалгаж чадахгүй, харин AAAA бүтэлгүйтэж, A ажилладаг гэсэн тасалбар тодорхой зам руу заана.

Тухайн гэр бүлийн замыг шалга

Бүтэлгүйтэж буй гэр бүлийн хувьд цөмөөс аль замыг ашиглахыг асууж, туннелийн тохируулсан хаягуудтай харьцуул. Linux дээр ip -6 route get очих газарт сонгогдох интерфэйс болон эх үүсвэрийг харуулна.

Дараа нь туннелийг өөрөө шалга. WireGuard-ийн түншүүд зөвшөөрөгдсөн IP-ийн жагсаалт авч явдаг бөгөөд 0.0.0.0/0 гэсэн бичлэг IPv6-ийн талаар юу ч хэлэхгүй. Хэрэв түншийн жагсаалтад IPv6 угтвар байхгүй бол клиент AAAA урсгалыг туннель руу илгээх ямар ч шалтгаангүй бөгөөд пакет хост өөрөөр хийх байсан замаар гарна.

Галт ханын дүрэм, NAT бодлого нь гэр бүл бүрт ижил шалгалт хийх ёстой. IPv4-д зориулж бичсэн дүрэм ямар ч платформд IPv6-г хаахгүй бөгөөд нэг гэр бүл ажиллаж, нөгөө нь ажиллахгүй байх хамгийн түгээмэл шалтгаан энэ юм.

Дэлгэцийн зураг хялбар болгохын тулд IPv6-г бүү унтраа

IPv6-г систем даяар унтраавал шинж тэмдэг алга болж, та оношгүй үлдэнэ. Энэ нь зөвхөн IPv6 байдаг аливаа очих газрыг эвдэж, дараагийн програмын хувьд мөн тэр алдааг нуудаг. Хэрэв машиныг үнэхээр IPv6 ашиглах ёсгүй бол энэ нь эзэн, тесттэй зориудын бодлого юм. Ослын үеэр унтраах нь аль нь ч биш.

Клиент гэр бүлтэй хэрхэн ажиллах ёстойг шийдэж, түүнийг тодорхой тохируул: туннельээр дамжуул, эсвэл дэмжигдсэн аргаар блоклож, сонголт хэзээ ч хүрэх боломжгүй нэр дэвшигчийг санал болгохгүй байг. Хоёулаа хууль ёсны загвар. Глобал унтраалт нь аль нь ч биш, учир нь энэ нь огт загвар биш.

Тасалбарт юу бичих вэ

Дөрвөн зүйлийг тэмдэглэ: хостын нэр, бүтэлгүйтсэн гэр бүл, цөмийн сонгосон зам, гэр бүлд тусгай хүсэлтийн үр дүн. Энэ багц нь өөр хэн нэгэнд алдааг дахин гаргахад хангалттай, та хоёр замын алийг хэлснийг таамаглахгүйгээр.

RFC 6724 хаягийн сонголтын дүрэм клиент яагаад тэр нэр дэвшигчийг илүүд үзсэнийг тайлбарлаж, RFC 8305 саатлыг нуусан уралдааны зан төлөвийг тайлбарладаг. Аль нь ч таны өмнөөс пакетыг чиглүүлэхгүй бөгөөд яг тэр хэсгийг туннель хийх ёстой.