Draagt je VPN IPv6, of bereikt hij alleen de server?

Een lektest voor alleen IPv4 komt schoon terug, een IPv6-test toont je thuisadres, en de tunnel is nominaal verbonden. Die combinatie komt vaak voor op dual-stacknetwerken, omdat de VPN het pad van de ene familie veranderde en de andere met rust liet. De buitenste tunnel en het verkeer erin zijn twee afzonderlijke adresseringsbeslissingen. Het ene testen zegt niets over het andere.

Controleer zowel wat de client rapporteert als welke familie het verzoek werkelijk gebruikte, want een hostnaam kan beide soorten antwoorden teruggeven.

Twee families, twee verschillende routes

Het besturingssysteem houdt een routetabel per adresfamilie bij. Het installeren van een standaardroute voor IPv4 installeert er geen voor IPv6, en een tunnel-eindpunt dat via IPv4 bereikbaar is, zegt niets over of IPv6-verkeer erin terechtkomt. Als er geen IPv6-standaardroute door de tunnel bestaat, gebruikt de host welk IPv6-pad hij heeft, en dat is vaak de fysieke link. Vanuit het oogpunt van de toepassing is de verbinding simpelweg direct.

Een hostnaam die zowel A- als AAAA-records teruggeeft, maakt dit moeilijker te zien, omdat toepassingen de families in verschillende volgordes kunnen proberen. Een verzoek dat slaagt, bewijst niet welk pad het nam. Gebruik een test die de familie noemt die hij heeft geprobeerd.

De server bereiken is het verkeer niet dragen

Aanbieders gebruiken de uitdrukking IPv6-ondersteuning voor verschillende mogelijkheden. Het eindpunt kan een verbinding via IPv6 accepteren terwijl de tunnel nog steeds alleen IPv4 draagt. De tunnel kan IPv6-binnenpakketten dragen terwijl het buitenste transport IPv4 blijft. Of de client kan IPv6 volledig blokkeren zodat er niets buiten de tunnel ontsnapt. Dat zijn drie verschillende gedragingen, en een pagina die alleen zegt dat IPv6 wordt ondersteund, onderscheidt ze niet.

Vraag welke ervan het ontwerp nodig heeft. Een netwerk dat diensten moet bereiken die alleen op IPv6 bestaan, heeft het dragen nodig. Een netwerk dat direct IPv6-verkeer moet voorkomen, heeft blokkering of volledig dragen nodig, niet een label op een marketingpagina.

Kies tussen dragen en blokkeren

Dragen betekent dat de tunnel een IPv6-adres heeft, een standaardroute erin en een beleid dat het verkeer aan beide uiteinden toestaat. Blokkeren betekent dat de client IPv6 er bewust van weerhoudt buiten de tunnel te gaan, wat veilig en nutteloos is om IPv6-bestemmingen te bereiken. Beide zijn legitiem; geen van beide is een standaard die je kunt aannemen. Kies eerst de eis en controleer dan of de client die echt implementeert.

Een gastnetwerk met alleen IPv4 kan geen IPv6-pad uitoefenen, dus een test die daar wordt gedaan zegt niets over het thuisnetwerk waar beide families bestaan. Test waar de relevante familie echt wordt aangeboden.

De kill switch heeft dezelfde dekking nodig

Een kill switch die alleen IPv4 dekt, laat de andere familie vrij om er direct uit te gaan, en dat is precies het lek dat hij moest voorkomen. Bekijk de regels voor beide families en voor de overgangsmomenten, terwijl de tunnel opkomt of wegvalt. IPv6 systeembreed uitschakelen is geen vervanging: het kan ongerelateerde diensten breken en verbergt een clientbeleidsprobleem achter een machinebrede wijziging.

Houd DNS gescheiden van dit alles. DNS gaat over wie de query beantwoordt en hoe de query reist; de toepassingsverbinding die volgt heeft zijn eigen route. De ene kan correct zijn terwijl de andere dat niet is, en ze samen diagnosticeren levert verwarde conclusies op.

Noteer welke familie elke test heeft uitgeoefend en welke mogelijkheid de client claimt. Dat paar feiten beantwoordt de vraag die een supportlabel nooit zal beantwoorden.