Ei global IPv6-adresse tyder ikkje at trafikken hoppar over tunnelen

Ei testside rapporterer ei global IPv6-adresse, og konklusjonen hoppar rett til trafikk som går utanom VPN. Den konklusjonen treng to fakta som sida aldri viste: kva for ein applikasjon som sende førespurnaden, og kva for ei rute kjernen valde for han. Adresseomfanget skildrar kor langt ei adresse kan rutast. Det seier ingenting om kvar nettopp denne pakken gjekk.

Omfang og rolle er ulike spørsmål med ulike prov.

Omfanget svarar på kven som kan rute henne, ikkje kven som gjer det

Globale unicast-adresser kan i prinsippet rutast på det opne internettet, unike lokale adresser er meinte for intern topologi, og lenkjelokale adresser finst berre på éi lenkje. Dette er eigenskapar ved adresseblokka. Om ein pakke til ein gitt destinasjon går ut gjennom tunnelen, blir avgjort av rutetabellen og av policyen som er knytt til grensesnittet, og begge kan peike kva veg som helst.

Ei adresse kan ha globalt omfang og likevel bli boren inne i ein tunnel, fordi tunnelen er ein veg og ikkje ein adresseplan.

Les alle adressene på grensesnittet, ikkje webtesten

Utdata frå grensesnittet viser fleire adresser samstundes: den ytre adressa på den fysiske lenkja, tunneladressa og ei lenkjelokal adresse per grensesnitt. Webtesten viser berre kjeldeadressa til éin førespurnad. Start med ip -6 addr show og noter kva for eit grensesnitt som eig kvar adresse og kva prefikslengd ho ber, og spør så kva for eit grensesnitt førespurnaden faktisk brukte.

Samanlikn det med ip -6 route get 2606:4700::1111, som skriv ut grensesnittet og kjelda kjernen ville velje for ein destinasjon.

Korleis eit globalt prefiks hamnar inne i ein tunnel

To design gjev ei global adresse på eit tunnelgrensesnitt. Leverandøren kan delegere eit prefiks som blir ruta til klienten gjennom tunnelen, noko som gjer adressa global medan vegen framleis er tunnelen. Eller klienten held på si eiga globale adresse, og tunnelen ber henne som indre trafikk medan den ytre headeren gjer arbeidet. Ingen av designa krev omsetjing, og forvirringa startar der vanar frå IPv4 NAT blir handsama som eit krav til IPv6.

Spør administratoren kva for eitt av dei to som gjeld. Svaret avgjer kva ein tenar på den andre sida ser som kjelda di.

Kvifor ei adresse som ser privat ut ikkje er eit tillitssignal

Ei unik lokal adresse seier at operatøren har meint henne for intern ruting, og ikkje meir. Ho provar ikkje at eininga blir styrt, at programvara er påliteleg, eller at trafikken er kryptert. Omvendt provar ei global adresse ikkje at trafikken slapp ut av tunnelen, og det er nettopp den føresetnaden heile denne artikkelen finst for å bryte ned.

Vurder tillit ut frå policy, autentisering og kryptering. Utsjånaden til adressa er ein svak heuristikk som feilar i begge retningar.

Test rute og policy som to spørsmål

Fyrst ruta: køyr curl -6 https://ifconfig.me gjennom tunnelen og deretter over det fysiske grensesnittet, og samanlikn svara. Deretter policyen: stadfest kva prefiks tunnelen faktisk ber og om den andre sida har ei returrute for det. Ein vellukka førespurnad til ein offentleg nettstad provar ingen av delane, for den destinasjonen er nåbar frå kvar som helst. Bruk ein intern destinasjon for policytesten.

Noter kjeldeadressa kvar veg produserte. Det er provet ein påstand om omgåing faktisk treng.