IPv6-trafikk utanom VPN-en: finn ruta som lekk

To testsider er usamde: den eine rapporterer adressa til leverandøren gjennom tunnelen, den andre rapporterer heimeprefikset ditt, og den openberre konklusjonen er at VPN-en lek. Den konklusjonen hoppar over eit steg, fordi dei to rapportane utløyste to ulike rutingsavgjerder, og berre éi av dei skulle inn i tunnelen. Gapet er vanlegvis reelt, og det er eit dekkingsproblem og ikkje ein øydelagd tunnel. Tre spørsmål avgjer det: kva straum som faktisk gjekk ut, kva rute kjernen valde for han, og kva åtferd klienten hadde tenkt.

Arbeid i den rekkjefølgja. Svarar ein i feil rekkjefølgje, vert det ein lang diskusjon om klienten er defekt, medan det rette svaret er at det aldri vart installert noka IPv6-rute.

Kva straum som faktisk gjekk ut, og på kva nettverkskort

Byrja med ein test som namngjev familien han brukte, og skriv deretter ned applikasjonen, aksessnettet, profilen som gjeld og om sambandet i det heile tilbyr IPv6. Dei fire fakta er det som gjer to køyringar samanliknbare, og den fjerde gløymer folk: eit nettverk utan v6-prefiks kan ikkje lekke v6, og eit nettverk som legg til eitt seinare, endrar svaret.

Send éin førespurnad per familie i staden for å laste ei side og lese resultatet. Ei enkelt side kan blande v6- og v4-ressursar, ein bakgrunnsprosess kan oppføre seg annleis enn fana framfor deg, og eit hurtiglagra svar kan overleve nettverksendringa du prøver å teste. Fest målet du testar og noter det, slik at ei gjenteken køyring måler det same.

Å lese ruta kjernen valde

Rutetabellen svarar på spørsmålet nettlesaren ikkje kan. Spør systemet kvar ein bestemt destinasjon vil gå, og ta med både policyreglar og standardruta du ser, fordi begge kan overstyre henne:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Eit meir spesifikt prefiks er den vanlege grunnen til at éin destinasjon ligg utanfor tunnelen medan alt anna blir inne, og ein policyregel kan gjere det same med høgare prioritet enn noka rute. Les også metrikken, fordi to oppføringar for same prefiks vert avgjorde av metrikken og ikkje av rekkjefølgja på skjermen. På Windows er den tilsvarande lista Get-NetRoute -AddressFamily IPv6, sortert etter metrikk for å matche avgjerdsrekkjefølgja. Ein regel som ser rett ut i tabellen, kan likevel tape for ein policyregel med lågare nummer, og difor høyrer regellista saman med rutelista i same andedrag.

Kvar IPv6-policyen til klienten kjem frå

Ein klient kan vere bygd for å føre v6 gjennom tunnelen, for å avvise det, eller for å tillate eit namngjeve unntak, og dei tre intensjonane gjev tre ulike rette resultat. Les profilen og dokumentasjonen til klienten sjølv før du kallar ei observasjon ei lekkasje, for ein klient som blokkerer v6 medan operativsystemet framleis sender naboøking på den fysiske lenkja, oppfører seg som designa.

Ein applikasjon som med vilje er utelukka frå tunnelen, er eit anna tilfelle enn ein familie tunnelen aldri bar. Det første er ei avgjerd om eitt program, det andre er eit hol i dekninga, og reparasjonen er tilsvarande ulik. Les lista til klienten over utelukka program før du leitar etter ei rute som aldri skulle finnast.

Smal observasjon, når tabellen er usamd

Når ruteoppslaget er tvitydig, kan éin grensesnittobservasjon på verten avgjere det, men berre om han er retta mot spørsmålet. Trafikk til sjølve VPN-endepunktet vil krysse det fysiske nettverkskortet etter design; det som tel, er om applikasjonsstraumen, som er adressert heilt andre stader, også dukkar opp der. Filtrer opptaket til destinasjonen du testar i staden for å samle alt.

Eit breitt opptak avdekkjer langt meir personleg trafikk enn det eine spørsmålet krev. Det svarar også mindre klart, fordi straumen du bryr deg om, kjem gravlagd i ein straum av urelaterte samband. Filtrer til den testa destinasjonen, stopp etter ein handfull pakkar, og slett opptaket.

Tre måtar å lukke gapet

Før familien gjennom tunnelen, blokker han i klienten når tunnelen ikkje kan bere han, eller registrer eit medvite unntak med eigar og revisjonsdato. Kvar av dei er forsvarleg, og det einaste som ikkje er forsvarleg, er å la valet vere implisitt, fordi eit implisitt val er nettopp det lekkasjen er. Om tunnelen ikkje har nokon v6-utgang i det heile, er det både ærleg og testbart å avvise v6 i klienten. Det som tel, er at valet står skrive der neste person finn det, ikkje utleidd av åtferd seks månader seinare.

Gjenta kontrollen etter ei ny tilkopling og etter å ha flytta mellom nettverk, sidan ei rute installert for førre lenkje kan overleve endringa. Noter deretter destinasjonen, ruta som vart vald, klientpolicyen og familien testen brukte, slik at neste person les ei avgjerd i staden for å leie henne ut på nytt. RFC 7359 dokumenterer dual-stack-lekkasje som eit designproblem og ikkje ein feil, og det er referansen å sitere når nokon hevdar at ein fungerande v4-tunnel dekkjer alt.