Waarom uw IPv6-adres verandert terwijl de VPN actief blijft

Twee schermafbeeldingen een uur uit elkaar tonen verschillende IPv6-bronadressen, en de voor de hand liggende lezing is dat de tunnel heeft gelekt of opnieuw verbonden is. Meestal gebeurde geen van beide. De host gebruikt tijdelijke adressen, een privacyfunctie van het besturingssysteem die de interface-identificatie volgens een timer roteert. De vergelijking leek sluitend alleen omdat ze een veld aannam dat nooit stabiel was.

Wat een tijdelijk adres werkelijk roteert

Een tijdelijk adres wordt opgebouwd uit de prefix van de interface plus een identificatie die de host wijzigt, en het draagt een voorkeurs- en een geldige levensduur. Voordat de geldige levensduur verloopt, genereert de host een vervanging, zodat twee verbindingen legitiem vanaf verschillende bronnen kunnen vertrekken. Het link-local adres en de prefix zelf blijven staan, en zo herkent het netwerk de machine nog steeds.

Niets aan die rotatie maakt een account, een cookie of een browsepatroon anoniem. Een site die u wil herkennen heeft cookies, logins en vingerafdrukken, en een wisselend bronadres valt daarbij nauwelijks op. De rotatie wijzigt één veld in de pakketkop, en dat veld was nooit de enige identificatie op het pad.

De website ziet één adres, de host houdt er meerdere

Een server noteert de bron van het verzoek dat hij ontving, niets meer. De host kan meerdere adressen met verschillende bereiken en levensduren houden, en welke wint hangt af van de regels voor adresselectie en van de bestemming. De websitewaarde als machineadres lezen is waar deze verwarring begint. Eén host kan voor twee sites op hetzelfde moment op twee machines lijken, simpelweg omdat elke verbinding een ander adres koos.

Kijk tijdens een test naar de interface met ip -6 addr show dev eth0: meerdere adressen met hun levensduur betekenen dat de rotatie volgens ontwerp aanwezig is. Vraag daarna de kernel welke route hij zou gebruiken met ip -6 route get 2001:db8:10::5, wat het apparaat en de voorkeursbron voor die bestemming afdrukt.

Vergelijk prefix, interface en route, niet de tekenreeks

Bij VPN-tests is de vraag of het pakket via de tunnel is vertrokken, en dat is een kwestie van routering en beleid. Het bronadres is daarvoor een zwakke indicator: een roterend adres op de tunnelinterface zit nog steeds op de tunnel. Een tunnel die opnieuw verbindt verschuift meestal de prefix of het apparaat, en die veranderingen zijn zichtbaar zonder het volledige adres te lezen.

Vergelijk dus de gekozen route, de interface waar het pakket door vertrok en de prefix die het droeg. Die drie blijven tussen runs stabiel genoeg, en elk ervan betekent iets anders wanneer het verandert.

Een verandering is belangrijk wanneer de prefix verandert, wanneer de interface verandert of wanneer de route naar de bestemming de tunnel niet meer gebruikt. Een verandering alleen in de interface-identificatie, met dezelfde prefix en hetzelfde apparaat, is privacygedrag dat werkt zoals bedoeld. Als alleen de identificatie verschoof, heeft de test de privacytimer gemeten in plaats van de dekking. Schrijf op welke van de drie verschoof voordat u de tunnel de schuld geeft.

Schakel IPv6 niet uit om schermafbeeldingen te laten kloppen

IPv6 uitschakelen laat herhaalde tests kloppen, en het haalt ook een hele adresfamilie weg uit het netwerk dat uw tunnel hoort te dekken. Wanneer het beleid is om IPv6 te dragen, verbergt het uitschakelen een dekkingsgat in plaats van het te dichten.

Als het beleid is om IPv6 te blokkeren tot het ondersteund wordt, blokkeer het dan bewust en schrijf de beslissing op. De volgende beheerder moet het verschil zien tussen een gedocumenteerde blokkade en een uitgeschakelde stack.

Wat vast te leggen, en wat één test kan bewijzen

Leg de prefix, de interfacenaam, de gekozen route, de bestemming en de tijdstempel vast, met het volledige adres ernaast. De specificatie voor tijdelijke adressen legt de levensduren uit die de rotatie aandrijven, en daarom is het volledige adres het minst stabiele veld in de notitie. Dat twee van de drie stabiele velden tussen runs overeenkomen is sterker bewijs dan welke enkele adresovereenkomst dan ook.

Eén test is één waarneming van één verzoek. De notitie is wat de volgende waarneming tot een vergelijking maakt. Bewaar beide, en de volgende afwijking kost een blik in plaats van een middag.