Trafik IPv6 yang memintas VPN: cari laluan yang bocor

Dua halaman ujian tidak bersetuju: satu melaporkan alamat penyedia melalui terowong, yang kedua melaporkan awalan rumah anda, dan kesimpulan yang jelas ialah VPN bocor. Kesimpulan itu melangkau satu langkah, kerana kedua-dua laporan menggunakan dua keputusan penghalaan yang berbeza dan hanya satu daripadanya sepatutnya masuk ke dalam terowong. Jurang itu biasanya nyata, dan ia masalah liputan, bukan terowong rosak. Tiga soalan menyelesaikannya: aliran mana yang benar-benar keluar, laluan mana yang dipilih kernel untuknya, dan tingkah laku mana yang dimaksudkan oleh klien.

Bekerja dalam urutan itu. Menjawabnya di luar urutan menghasilkan perdebatan panjang sama ada klien rosak, sedangkan jawapan sebenar ialah tiada laluan IPv6 pernah dipasang.

Aliran mana yang benar-benar keluar, dan pada penyesuai mana

Mulakan dengan ujian yang menamakan keluarga yang digunakan, kemudian catat aplikasi, rangkaian akses, profil yang berkuat kuasa dan sama ada sambungan menawarkan IPv6 sama sekali. Empat fakta itu yang menjadikan dua larian boleh dibandingkan, dan yang keempat orang ramai lupa: rangkaian tanpa awalan v6 tidak boleh membocorkan v6, dan rangkaian yang menambah satu kemudian mengubah jawapannya.

Hantar satu permintaan bagi setiap keluarga dan bukannya memuatkan halaman dan membaca hasilnya. Satu halaman boleh mencampurkan sumber v6 dan v4, proses latar belakang mungkin berkelakuan berbeza daripada tab di hadapan anda, dan jawapan cache boleh bertahan lebih lama daripada perubahan rangkaian yang anda cuba uji. Tetapkan destinasi yang anda uji dan catatkannya, supaya larian berulang mengukur perkara yang sama.

Membaca laluan yang dipilih kernel

Jadual laluan menjawab soalan yang pelayar tidak dapat. Tanya sistem ke mana destinasi tertentu akan pergi, dan sertakan peraturan dasar serta laluan lalai yang kelihatan, kerana kedua-duanya boleh mengatasinya:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Awalan yang lebih khusus ialah sebab biasa satu destinasi berada di luar terowong manakala semua yang lain kekal di dalam, dan peraturan dasar boleh melakukan perkara yang sama dengan keutamaan lebih tinggi daripada mana-mana laluan. Baca juga metrik, kerana dua entri untuk awalan yang sama ditentukan oleh metrik, bukan oleh susunannya di skrin. Pada Windows senarai yang setara ialah Get-NetRoute -AddressFamily IPv6, disusun mengikut metrik untuk sepadan dengan urutan keputusan. Peraturan yang kelihatan betul dalam jadual masih boleh kalah kepada peraturan dasar bernombor lebih rendah, sebab itu senarai peraturan berada dalam satu nafas dengan senarai laluan.

Dari mana dasar IPv6 klien datang

Klien boleh dibina untuk membawa v6 melalui terowong, untuk menolaknya, atau untuk membenarkan pengecualian bernama, dan ketiga-tiga niat itu menghasilkan tiga keputusan betul yang berbeza. Baca profil dan dokumentasi klien itu sendiri sebelum menyebut pemerhatian sebagai kebocoran, kerana klien yang menyekat v6 sedangkan sistem pengendalian masih menghantar penemuan jiran pada pautan fizikal berkelakuan seperti direka.

Aplikasi yang sengaja dikecualikan daripada terowong ialah kes berbeza daripada keluarga yang tidak pernah dibawa oleh terowong. Yang pertama ialah keputusan tentang satu program, yang kedua ialah jurang dalam liputan, dan pembaikannya berbeza mengikut itu. Baca senarai program yang dikecualikan oleh klien sebelum mencari laluan yang sepatutnya tidak pernah wujud.

Pemerhatian sempit, apabila jadual tidak bersetuju

Apabila carian laluan kabur, satu pemerhatian antara muka pada hos boleh menyelesaikannya, tetapi hanya jika ia ditujukan kepada soalan itu. Trafik ke titik akhir VPN itu sendiri akan merentas penyesuai fizikal mengikut reka bentuk; yang penting ialah sama ada aliran aplikasi, yang dialamatkan ke tempat lain sepenuhnya, juga muncul di sana. Tapis tangkapan kepada destinasi yang anda uji dan bukannya mengumpul semuanya.

Tangkapan yang luas mendedahkan jauh lebih banyak trafik peribadi daripada yang diperlukan oleh satu soalan itu. Ia juga menjawab soalan dengan kurang jelas, kerana aliran yang anda ambil berat tiba tertimbus dalam arus sambungan yang tidak berkaitan. Tapis kepada destinasi yang diuji, berhenti selepas beberapa paket, dan hapuskan tangkapan itu.

Tiga cara menutup jurang

Bawa keluarga itu melalui terowong, sekat di klien apabila terowong tidak dapat membawanya, atau catat pengecualian yang disengajakan dengan pemilik dan tarikh semakan. Setiap satu boleh dipertahankan, dan satu-satunya yang tidak boleh dipertahankan ialah membiarkan pilihan itu tersirat, kerana pilihan tersirat itulah sebenarnya kebocoran. Jika terowong tidak mempunyai jalan keluar v6 sama sekali, menolak v6 di klien adalah jujur dan boleh diuji. Yang penting ialah pilihan itu ditulis di tempat orang seterusnya akan menemuinya, bukan disimpulkan daripada tingkah laku enam bulan kemudian.

Ulang pemeriksaan selepas menyambung semula dan selepas berpindah antara rangkaian, kerana laluan yang dipasang untuk pautan sebelumnya boleh bertahan melepasi perubahan. Kemudian catat destinasi, laluan yang dipilih, dasar klien dan keluarga yang digunakan oleh ujian, supaya orang seterusnya membaca keputusan dan bukannya menerbitkannya semula. RFC 7359 mendokumentasikan kebocoran tindanan berganda sebagai masalah reka bentuk dan bukan pepijat, dan itulah rujukan yang dipetik apabila seseorang mendakwa terowong v4 yang berfungsi meliputi segala-galanya.