En global IPv6-adresse betyr ikke at trafikken hopper over tunnelen

En testside rapporterer en global IPv6-adresse, og konklusjonen hopper rett til trafikk som omgår VPN. Den konklusjonen trenger to fakta som siden aldri viste: hvilken applikasjon som sendte forespørselen, og hvilken rute kjernen valgte for den. Adresseomfanget beskriver hvor langt en adresse kan rutes. Det sier ingenting om hvor nettopp denne pakken gikk.

Omfang og rolle er forskjellige spørsmål med forskjellige bevis.

Omfanget svarer på hvem som kan rute den, ikke hvem som gjør det

Globale unicast-adresser kan i prinsippet rutes på det åpne internettet, unike lokale adresser er ment for intern topologi, og link-lokale adresser finnes bare på én lenke. Dette er egenskaper ved adresseblokken. Om en pakke til en gitt destinasjon forlater gjennom tunnelen, avgjøres av rutetabellen og av policyen som er knyttet til grensesnittet, og begge kan peke hvilken som helst vei.

En adresse kan ha globalt omfang og likevel bli båret inne i en tunnel, fordi tunnelen er en vei og ikke en adresseplan.

Les alle adressene på grensesnittet, ikke webtesten

Utdata fra grensesnittet viser flere adresser samtidig: den ytre adressen på den fysiske lenken, tunneladressen og en link-lokal adresse per grensesnitt. Webtesten viser bare kildeadressen til én forespørsel. Start med ip -6 addr show og noter hvilket grensesnitt som eier hver adresse og hvilken prefikslengde den bærer, og spør så hvilket grensesnitt forespørselen faktisk brukte.

Sammenlign det med ip -6 route get 2606:4700::1111, som skriver ut grensesnittet og kilden kjernen ville velge for en destinasjon.

Hvordan et globalt prefiks havner inne i en tunnel

To design gir en global adresse på et tunnelgrensesnitt. Leverandøren kan delegere et prefiks som rutes til klienten gjennom tunnelen, noe som gjør adressen global mens veien fortsatt er tunnelen. Eller klienten beholder sin opprinnelige globale adresse, og tunnelen bærer den som indre trafikk mens den ytre headeren gjør arbeidet. Ingen av designene krever oversettelse, og forvirringen starter der vaner fra IPv4 NAT behandles som et krav til IPv6.

Spør administratoren hvilken av de to som gjelder. Svaret avgjør hva en server på den andre siden ser som kilden din.

Hvorfor en adresse som ser privat ut ikke er et tillitssignal

En unik lokal adresse sier at operatøren har ment den for intern ruting, og ikke mer. Den beviser ikke at enheten administreres, at programvaren er pålitelig, eller at trafikken er kryptert. Omvendt beviser en global adresse ikke at trafikken slapp ut av tunnelen, og det er nettopp den antakelsen hele denne artikkelen finnes for å bryte ned.

Vurder tillit ut fra policy, autentisering og kryptering. Adressens utseende er en svak heuristikk som feiler i begge retninger.

Test rute og policy som to spørsmål

Først ruten: kjør curl -6 https://ifconfig.me gjennom tunnelen og deretter over det fysiske grensesnittet, og sammenlign svarene. Deretter policyen: bekreft hvilket prefiks tunnelen faktisk bærer og om den andre siden har en returrute for det. En vellykket forespørsel til et offentlig nettsted beviser ingen av delene, for den destinasjonen er nåbar fra hvor som helst. Bruk en intern destinasjon for policytesten.

Noter kildeadressen hver vei produserte. Det er beviset en påstand om omgåelse faktisk trenger.