Hvorfor IPv6-adressen din endres mens VPN-en blir stående

To skjermbilder med en times mellomrom viser forskjellige IPv6-kildeadresser, og den nærliggende lesningen er at tunnelen lakk eller ble koblet til på nytt. Vanligvis skjedde ingen av delene. Verten bruker midlertidige adresser, en personvernfunksjon i operativsystemet som roterer grensesnittidentifikatoren på en timer. Sammenligningen virket avgjørende bare fordi den forutsatte et felt som aldri var stabilt.

Hva en midlertidig adresse egentlig roterer

En midlertidig adresse bygges av grensesnittets prefiks pluss en identifikator verten endrer, og den bærer en foretrukket og en gyldig levetid. Før den gyldige levetiden løper ut, genererer verten en erstatning, så to tilkoblinger kan lovlig gå ut fra forskjellige kilder. Link-local-adressen og selve prefikset blir stående, og slik kjenner nettverket fortsatt igjen maskinen.

Ingenting i den rotasjonen gjør en konto, en informasjonskapsel eller et nettlesermønster anonymt. Et nettsted som vil kjenne deg igjen har informasjonskapsler, innlogginger og fingeravtrykk, og en skiftende kildeadresse registreres nesten ikke mot dem. Rotasjonen endrer ett felt i pakkehodet, og det feltet var aldri den eneste identifikatoren på veien.

Nettstedet ser én adresse, verten har flere

En server noterer kilden til forespørselen den mottok, ikke noe mer. Verten kan ha flere adresser med ulike omfang og levetider, og hvilken som vinner avhenger av reglene for adressevalg og av målet. Å lese nettstedets verdi som maskinens adresse er der denne forvirringen starter. Én vert kan se ut som to maskiner for to nettsteder i samme øyeblikk, rett og slett fordi hver tilkobling valgte en annen adresse.

Se på grensesnittet under en test med ip -6 addr show dev eth0: flere adresser med levetidene sine betyr at rotasjonen er der etter design. Spør deretter kjernen hvilken rute den ville bruke med ip -6 route get 2001:db8:10::5, som skriver ut enheten og den foretrukne kilden for det målet.

Sammenlign prefiks, grensesnitt og rute, ikke strengen

I VPN-testing er spørsmålet om pakken forlot gjennom tunnelen, og det er et spørsmål om ruting og policy. Kildeadressen er en svak indikator for det: en adresse som roterer på tunnelets grensesnitt er fortsatt på tunnelen. En tunnel som kobles til på nytt flytter vanligvis prefikset eller enheten i stedet, og de endringene er synlige uten å lese hele adressen.

Sammenlign derfor den valgte ruten, grensesnittet pakken forlot gjennom, og prefikset den bar. Disse tre holder seg stabile nok mellom kjøringer, og hver av dem betyr noe annet når den endres.

En endring betyr noe når prefikset endres, når grensesnittet endres, eller når ruten til målet slutter å bruke tunnelen. En endring bare i grensesnittidentifikatoren, med samme prefiks og samme enhet, er personvernatferd som virker som tenkt. Hvis bare identifikatoren flyttet seg, målte testen personverntimeren i stedet for dekningen. Skriv ned hvilken av de tre som flyttet seg før du klandrer tunnelen.

Ikke slå av IPv6 for å få skjermbildene til å stemme

Å slå av IPv6 får gjentatte tester til å stemme, og det fjerner også en hel adressefamilie fra nettverket tunnelen din skal dekke. Når policyen er å bære IPv6, skjuler deaktiveringen et dekningshull i stedet for å lukke det.

Hvis policyen er å blokkere IPv6 til det støttes, blokker det bevisst og skriv beslutningen ned. Den neste administratoren må se forskjellen på en dokumentert blokkering og en avslått stakk.

Hva som skal registreres, og hva én test kan bevise

Registrer prefikset, grensesnittnavnet, den valgte ruten, målet og tidsstempelet, med hele adressen ved siden av. Spesifikasjonen for midlertidige adresser forklarer levetidene som driver rotasjonen, og derfor er hele adressen det minst stabile feltet i notatet. At to av de tre stabile feltene stemmer mellom kjøringer er sterkere bevis enn en enkelt adressematch.

Én test er én observasjon av én forespørsel. Notatet er det som gjør den neste observasjonen til en sammenligning. Ta vare på begge, og neste uenighet koster et blikk i stedet for en ettermiddag.