Alamat IPv6 global tidak bermaksud trafik memintas terowong

Halaman ujian melaporkan alamat IPv6 global dan kesimpulannya terus melompat kepada trafik yang memintas VPN. Kesimpulan itu memerlukan dua fakta yang tidak pernah ditunjukkan oleh halaman: aplikasi mana yang membuat permintaan, dan laluan mana yang dipilih kernel untuknya. Skop alamat menerangkan sejauh mana alamat boleh dihalakan. Ia tidak menyatakan apa-apa tentang ke mana paket tertentu ini pergi.

Skop dan peranan ialah soalan berbeza dengan bukti berbeza.

Skop menjawab siapa boleh menghalakannya, bukan siapa yang berbuat demikian

Alamat unicast global pada dasarnya boleh dihalakan di internet awam, alamat tempatan unik bertujuan untuk topologi dalaman, dan alamat tempatan pautan hanya wujud pada satu pautan. Itu sifat blok alamat. Sama ada paket ke destinasi tertentu keluar melalui terowong ditentukan oleh jadual penghalaan dan dasar yang terikat pada antara muka, dan kedua-duanya boleh menunjuk ke mana-mana arah.

Alamat boleh mempunyai skop global dan masih dibawa di dalam terowong, kerana terowong ialah laluan, bukan pelan alamat.

Baca semua alamat pada antara muka, bukan ujian web

Output antara muka menunjukkan beberapa alamat serentak: alamat luar pada pautan fizikal, alamat terowong, dan satu alamat tempatan pautan bagi setiap antara muka. Ujian web hanya menunjukkan alamat sumber satu permintaan. Mulakan dengan ip -6 addr show dan catat antara muka mana yang memiliki setiap alamat dan berapa panjang awalan yang dibawanya, kemudian tanya antara muka mana yang sebenarnya digunakan oleh permintaan itu.

Bandingkan dengan ip -6 route get 2606:4700::1111, yang mencetak antara muka dan sumber yang akan dipilih kernel untuk sesuatu destinasi.

Bagaimana awalan global berakhir di dalam terowong

Dua reka bentuk menghasilkan alamat global pada antara muka terowong. Penyedia boleh mewakilkan awalan yang dihalakan kepada klien melalui terowong, yang menjadikan alamat itu global sementara laluan kekal sebagai terowong. Atau klien mengekalkan alamat global asalnya dan terowong membawanya sebagai trafik dalaman sementara pengepala luar melakukan kerja. Tiada satu pun reka bentuk memerlukan terjemahan, dan kekeliruan bermula apabila tabiat IPv4 NAT dianggap sebagai keperluan IPv6.

Tanya pentadbir yang mana satu terpakai. Jawapannya menentukan apa yang dilihat oleh pelayan di sebelah sana sebagai sumber anda.

Mengapa alamat yang kelihatan peribadi bukan isyarat kepercayaan

Alamat tempatan unik menyatakan pengendali bermaksudkannya untuk penghalaan dalaman, dan tidak lebih. Ia tidak membuktikan peranti itu diurus, perisian itu dipercayai, atau trafik itu disulitkan. Sebaliknya, alamat global tidak membuktikan trafik itu terlepas daripada terowong, dan itulah andaian yang seluruh artikel ini wujud untuk merungkaikannya.

Nilai kepercayaan daripada dasar, pengesahan dan penyulitan. Penampilan alamat ialah heuristik lemah yang gagal dalam kedua-dua arah.

Uji laluan dan dasar sebagai dua soalan

Pertama laluan: jalankan curl -6 https://ifconfig.me melalui terowong dan sekali lagi melalui antara muka fizikal, dan bandingkan jawapannya. Kedua dasar: sahkan awalan mana yang benar-benar dibawa oleh terowong dan sama ada sebelah sana mempunyai laluan balik untuknya. Permintaan yang berjaya ke tapak awam tidak membuktikan kedua-duanya, kerana destinasi itu boleh dicapai dari mana-mana sahaja. Gunakan destinasi dalaman untuk ujian dasar.

Catat alamat sumber yang dihasilkan oleh setiap laluan. Itulah bukti yang benar-benar diperlukan oleh dakwaan tentang pemintasan.