Cara menguji IPv6 melalui VPN dengan sumber anda sendiri

Halaman pemeriksa IP awam menjawab satu soalan, dan biasanya bukan soalan yang anda tanya. Ia memberitahu alamat keluar yang dilihat oleh halaman itu; ia tidak memberitahu sama ada laluan IPv6 melalui terowong berfungsi, sama ada hos mengutamakan IPv6 atau berundur, atau sama ada aplikasi yang dikecualikan mengambil laluan lain. Sumber sah yang anda kawal menjawab soalan yang lebih sempit dengan betul, kerana anda melihat kedua-dua hujung. Panduan di bawah ialah tentang mendapatkan kesimpulan yang boleh anda pertahankan, bukan tentang mendapatkan hasil hijau.

Langkah 1: nyatakan laluan IPv6 yang anda uji

Nyatakan dalam satu ayat. Permintaan ke alamat IPv6 pelayan terowong itu sendiri menguji terowong; permintaan ke hos di luar keluar menguji keluar IPv6 keluar; permintaan ke alamat IPv6 peribadi menguji laluan dalaman.

Itu tiga dakwaan berbeza dan satu permintaan berjaya tidak dapat menyokong kesemuanya. Pilih yang penting untuk keputusan di hadapan anda dan tuliskannya sebelum menjalankan apa-apa. Jika kebimbangannya ialah sama ada IPv6 bocor di sekeliling terowong, soalannya ialah tentang pemilihan laluan oleh hos, bukan tentang kebolehcapaian keluar. Jika kebimbangannya ialah sama ada pihak jauh dapat mencapai perkhidmatan dalaman, keluar tidak relevan.

Langkah 2: sahkan bahawa hos memilih laluan itu

ip -6 route get 2001:db8:1::10 mencetak laluan, alamat sumber dan antara muka yang akan digunakan oleh kernel, dan fakta itulah yang menjadi asas baki ujian.

Antara muka yang wujud tidak sama dengan antara muka yang dipilih. Hos dwi-timbunan mempunyai jadual keutamaan, dan /etc/gai.conf di Linux boleh menukar keluarga mana yang menang untuk nama yang diselesaikan kepada kedua-duanya.

Langkah 3: gunakan destinasi dan nama yang sah

Jika anda menguji HTTPS, gunakan nama hos yang menjadi tujuan sijil dikeluarkan dan biarkan pengesahan hidup; bertukar ke alamat literal supaya ujian lulus mematikan tepat pemeriksaan yang membuktikan anda mencapai hos yang dimaksudkan. Perkhidmatan diagnostik yang anda kawal, yang menjawab pada nama yang dikenali dengan sijil sah, ialah sasaran paling bersih. Ia juga memberi anda baris log sebelah pelayan untuk dikorelasikan, yang tidak akan pernah diberikan oleh pemeriksa pihak ketiga.

Jalankan permintaan dalam bentuk yang menunjukkan alamat yang digunakan: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Pilihan -6 memaksa keluarga, dan begitulah anda memisahkan IPv6 tidak berfungsi daripada IPv6 tidak diutamakan.

Untuk pemeriksaan kebolehcapaian tulen di mana ICMPv6 dibenarkan, ping -6 -c 3 2001:db8:1::10 sudah memadai. Ia membuktikan laluan dan tiada apa di atasnya.

Langkah 4: korelasikan kedua-dua hujung

Apabila anda mempunyai akses ke kedua-dua hujung, jalankan tcpdump -ni any ip6 and host 2001:db8:1::10 pada klien dan yang setara pada sumber, dengan cap masa, dan sahkan bahawa aliran yang sama muncul pada kedua-duanya. Itulah yang mengubah hasil yang munasabah menjadi bukti: pandangan klien sahaja tidak dapat membezakan balasan daripada sumber dengan balasan daripada sesuatu di antaranya. Kekalkan tangkapan sempit pada satu destinasi supaya output kekal boleh dibaca dan sesi tidak berkaitan seseorang tidak berakhir dalam fail.

Ulang ujian selepas sambungan semula jika kebimbangannya ialah sama ada dasar bertahan selepas dimulakan semula. Keadaan laluan dan firewall yang digunakan sekali semasa menyambung boleh berbeza daripada keadaan yang digunakan semula, dan perbezaannya hanya muncul pada sambungan kedua.

Uji kes kegagalan secara berasingan jika anda memerlukannya. Terowong yang menyekat IPv6 apabila ia terputus dan yang membocorkannya ialah reka bentuk berbeza, dan hanya satu daripadanya boleh disahkan dengan permintaan berjaya.

Langkah 5: catat apa yang tidak dibuktikan oleh ujian

Langkah kelima ialah mencatat apa yang tidak dibuktikan oleh ujian, dan itulah bahagian yang sering ditinggalkan. Ujian berjaya pada titik akhir peribadi tidak membuktikan keluar IPv6 awam, tidak membuktikan tingkah laku DNS, dan tidak meliputi aplikasi yang anda kecualikan daripada terowong. Setiap satu memerlukan destinasinya sendiri dan pemerhatiannya sendiri. Nota yang menyatakan IPv6 berfungsi selepas satu permintaan ke satu hos bukan penemuan; ia ialah tekaan dengan cap masa.

Rekod yang berbaloi disimpan adalah pendek: destinasi, nama, alamat sumber yang dipilih hos, alamat jauh yang diperhatikan dan masa. RFC 7359 membincangkan cara menguji bahawa laluan IPv6 yang relevan benar-benar boleh digunakan, dan itulah piawaian yang didekati panduan ini dengan alat yang lebih mudah. Jika kesimpulan memerlukan pemeriksa awam untuk menjadi benar, ujian itu tidak cukup khusus.