Itfi IPv6 biex tissewwa tnixxija tal-VPN? Iddeċiedi l-politika minflok
Indirizz link-local mhuwiex tnixxija u rotta IPv6 globali lanqas. Agħżel l-ewwel bejn imblukkar, ġarr u tħallih.
Indirizz mill-firxa IPv6 jidher fuq paġna tat-test, il-mina b'mod ċar mhijiex iġġorrha, u l-aktar parir popolari fuq l-internet huwa li titfi IPv6 kullimkien. Dak il-kmand tassew isikket il-pannell. Iżda jneħħi wkoll protokoll li n-netwerk tal-aċċess jista' jiddependi fuqu, u jħallik mingħajr ebda idea jekk l-indirizz kienx tnixxija vera, indirizz tal-interface link-local, jew resolver li qed jagħmel xogħlu. Tliet kundizzjonijiet jiddeterminaw il-kontroll it-tajjeb, u wieħed biss minnhom iwassal għall-imblukkar.
Identifika x'inizjament kejjel l-għodda
L-aktar allarm falz komuni huwa indirizz link-local, li jibda b'fe80: u jeżisti fuq kull interface kapaċi IPv6, kemm jekk il-magna tista' tilħaq l-internet permezz ta' IPv6 u kemm jekk le. Jidher fil-listi tal-interfaces u f'xi dijanjostika tal-applikazzjonijiet, u ma jgħid xejn dwar il-passaġġ tat-traffiku tiegħek.
It-tieni allarm falz huwa indirizz lokali uniku f'fc00::/7, li huwa firxa privata użata ġewwa netwerk. Għodda li tistampa kull indirizz tal-host se telenkah bil-qalb ħdejn dak pubbliku. Min jaqra malajr isejjaħlu tnixxija, u mbagħad iqatta' siegħa fuq problema li ma teżistix.
It-tielet mhuwiex allarm falz xejn. Indirizz globali li jilħaq l-internet barra l-mina huwa t-tnixxija vera, u jiswa l-piż li titkejjel qabel ma tiddeċiedi xejn:
ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.coJekk l-ewwel kmand jistampa indirizz globali u t-tielet jirritorna indirizz IPv6 pubbliku li mhuwiex tal-mina, għandek passaġġ veru barra l-mina. Jekk l-ewwel ma jistampax xejn ħlief entrati link-local, qatt ma kien hemm tnixxija x'tissewwa.
Tliet kundizzjonijiet jiddeterminaw il-kontroll
Id-deċiżjoni mhijiex "IPv6 tajjeb" jew "IPv6 ħażin". Hija f'liema waħda minn tliet sitwazzjonijiet tinsab, u kull waħda għandha tweġiba korretta differenti bi spiża differenti jekk tiżbalja.
| Situation | Correct control | Cost if you disable IPv6 instead |
|---|---|---|
| Exit has no IPv6, host does | Block IPv6 deliberately in the tunnel policy | Same visible result, no documentation of intent |
| Exit carries IPv6, host leaks | Route IPv6 into the tunnel and verify | You lose IPv6 reachability entirely |
| Access network is IPv6-only | Change nothing; use the tunnel's IPv6 | Machine loses connectivity completely |
L-ewwel ringiela hija dak li n-nies normalment ifissru, u huwa leġittimu. Klijent li l-ħruġ tiegħu ma jappoġġjax IPv6 m'għandux iħalli t-traffiku IPv6 nattiv tal-host joħroġ bil-moħbi, għax dik hija t-tnixxija dokumentata ta' doppju stack. Il-punt huwa li timblukkaha bħala politika ddikjarata, mhux li titfi protokoll fil-kernel. Ir-riżultat viżibbli huwa identiku u wieħed biss minnhom jista' jiġi rivedut wara.
It-tielet ringiela hija fejn il-parir ġenerali jsir attivament ta' ħsara. L-operaturi mobbli u xi konnessjonijiet tad-dar iħaddmu netwerks IPv6-only bi traduzzjoni għad-destinazzjonijiet IPv4. Neħħi IPv6 hemmhekk u tneħħi l-uniku trasport li joffri n-netwerk, li jipproduċi waqfien ferm agħar minn dak li kont qed tiddibbugga.
Jekk il-ħruġ m'għandux IPv6, imblukkaha apposta
Ippreferi l-mekkaniżmu tal-klijent stess, għax japplika eżattament sakemm il-mina tkun 'il fuq u jerġa' lura meta taqa'. OpenVPN għandu għażla għal dan, u iptables għandu regola ekwivalenti għal klijenti oħra:
block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachableId-direttiva tappartjeni lill-profil; ir-regola tappartjeni lil firewall li tista' tirrevedi u tneħħi. It-tnejn jonqsu magħluqa, li huwa dak li trid, u t-tnejn jidhru f'diff tal-konfigurazzjoni, li sysctl tal-kernel midfun fi skript tal-bidu ma jagħmilx.
Innota għaliex hemm. Regola ta' imblukkar mingħajr kumment titneħħa mill-persuna li jmiss li jkollha bżonn IPv6 għal xi ħaġa oħra, u mbagħad it-tnixxija terga' lura bil-moħbi.
Jekk il-ħruġ iġorr IPv6, irruttah u ttestja ż-żewġ familji
Li ġġorr IPv6 hija t-tweġiba aħjar meta s-server jappoġġjaha, u mhijiex ħafna aktar diffiċli. Ir-rekwiżit huwa li l-interface tal-mina jkollha indirizz f'dik il-familja u li r-rotta default tagħha tkun tidher ġewwa l-mina minflok barra mill-interface fiżika:
ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.coIt-tfittxija tar-rotta hija l-prova deċiżiva: jekk issemmi l-interface tal-mina, it-traffiku IPv6 qed jinġarr. Iż-żewġ sejħiet curl imbagħad jikkonfermaw x'jara kull familja, u t-tqabbil tagħhom huwa l-mod kif tipprova li ż-żewġ passaġġi issa joħorġu mill-istess ħruġ.
Ma tieqafx fuq konnessjoni b'suċċess. Erġa' qabbad il-mina u iċċekkja mill-ġdid, għax rotta IPv6 mbuttata tista' tintilef meta terġa' tiġi stabbilita jekk is-server jibgħatha biss fil-konfigurazzjoni inizjali. Imbagħad iċċekkja destinazzjoni waħda eskluża, għax ir-regoli tal-split-tunnel huma fejn iż-żewġ familji l-aktar spiss ma jaqblux.
Jekk in-netwerk tal-aċċess huwa biss IPv6, ħallih
Xi netwerks jipprovdu biss IPv6 u jistennew li l-apparat jilħaq is-servizzi IPv4 permezz ta' mekkaniżmu ta' traduzzjoni fuq in-naħa tal-operatur. Li titfi IPv6 fuq magna bħal din mhijiex titjib fis-sigurtà; tneħħi l-unika rotta lejn xi ħaġa. Dak huwa waqfien li int stess toħloq għal riżultat ta' test li ħadd ma kien jeħtieġu.
Is-sintomu li tiżbalja hawn huwa distint u spjaċevoli: il-mina tidher li qed tistabbilixxi, is-soluzzjoni tal-ismijiet taħdem, u xejn ma jitgħabba. Jekk tara dan wara bidla fl-IPv6, erġa' stabbilixxi s-setting minnufih u kompli d-dijanjosi x'imkien ieħor.
X'tagħżel, żomm id-deċiżjoni espliċita fil-profil jew fil-firewall, orbotaha ma' dak li l-ħruġ tassew jappoġġja, u innota l-imġiba ta' doppju stack li tiddeskrivi id-diskussjoni dwar doppju stack tal-RFC 7359 . Imblukkar iddikjarat hija politika. Protokoll mitfi hija triq ta' ċirkomvenzjoni li ħadd ma jista' jivverifika, u mill-paġna tat-test jidhru identiċi.