Ber VPN-en din IPv6, eller når han berre tenaren?

Ein lekkasjetest berre for IPv4 kjem reinska tilbake, ein IPv6-test viser heimeadressa di, og tunnelen er nominelt tilkopla. Den kombinasjonen er vanleg på dual-stack-nettverk, fordi VPN-en endra ruta til den eine familien og lét den andre vera i fred. Den ytre tunnelen og trafikken inne i han er to separate adresseringsavgjerder. Å testa den eine seier ingenting om den andre.

Kontroller både det klienten rapporterer, og kva familie førespurnaden faktisk brukte, fordi eit vertsnamn kan returnera begge slaga svar.

To familiar, to ulike ruter

Operativsystemet held ein rutetabell per adressefamilie. Å installera ei standardrute for IPv4 installerar ikkje ei for IPv6, og eit tunnelendepunkt som er nåbart over IPv4 seier ingenting om korvidt IPv6-trafikk kjem inn i det. Når det ikkje finst noka IPv6-standardrute gjennom tunnelen, brukar verten den IPv6-ruta han har, og det er ofte den fysiske lenkja. Frå synsstaden til applikasjonen er sambandet rett og slett direkte.

Eit vertsnamn som returnerer både A- og AAAA-poster gjer dette vanskelegare å sjå, fordi applikasjonar kan prøva familiane i ulik rekkjefølgje. Ein førespurnad som lukkast beviser ikkje kva rute han tok. Bruk ein test som nemner familien han prøvde.

Å nå tenaren er ikkje å bera trafikken

Leverandørar brukar uttrykket IPv6-støtte om fleire ulike eigenskapar. Endepunktet kan godta ein samband over IPv6 medan tunnelen framleis berre ber IPv4. Tunnelen kan bera indre IPv6-pakkar medan den ytre transporten blir verande IPv4. Eller klienten kan blokkera IPv6 heilt, slik at ingenting slepp ut utanfor tunnelen. Det er tre ulike åtferder, og ei side som berre seier at IPv6 er støtta, skil dei ikkje.

Spør kva av dei designet treng. Eit nettverk som må nå tenester som berre finst på IPv6, treng å bera. Eit nettverk som må hindra direkte IPv6-trafikk, treng blokkering eller full bering, ikkje ein etikett på ei marknadsføringsside.

Vel mellom å bera og å blokkera

Å bera betyr at tunnelen har ei IPv6-adresse, ei standardrute inne i han og ein policy som lèt trafikken gjennom i begge endar. Å blokkera betyr at klienten med vilje stoggar IPv6 frå å gå ut av tunnelen, noko som er trygt og ubrukeleg for å nå IPv6-destinasjonar. Begge er legitime; ingen av dei er ein standard du kan gå ut frå. Vel kravet først, og kontroller deretter at klienten faktisk implementerer det.

Eit gjestenettverk med berre IPv4 kan ikkje prøva ei IPv6-rute, så ein test som blir gjort der, seier ingenting om heimenettverket der begge familiane finst. Test der den aktuelle familien faktisk blir tilboden.

Kill switch treng same dekning

Ein kill switch som berre dekkjer IPv4, lèt den andre familien gå direkte ut, og det er nettopp den lekkasjen han skulle hindra. Gå gjennom reglane hans for begge familiar og for overgangsmomenta, medan tunnelen kjem opp eller går ned. Å slå av IPv6 systemvidt er ikkje ei erstatning: det kan øydeleggja urelaterte tenester og gøymer eit klientpolitikkproblem bak ei maskinvid endring.

Hald DNS skilt frå alt dette. DNS handlar om kven som svarar på førespurnaden, og korleis førespurnaden reiser; applikasjonssambandet som følgjer, har si eiga rute. Den eine kan vera rett medan den andre ikkje er det, og å diagnostisera dei saman gjev forvirra konklusjonar.

Noter kva familie kvar test prøvde, og kva eigenskap klienten hevdar. Det paret med fakta svarar på spørsmålet som ein støtteetikett aldri vil svara på.