Bærer VPN-en din IPv6, eller når den bare serveren?

En lekkasjetest kun for IPv4 kommer tilbake ren, en IPv6-test viser hjemadressen din, og tunnelen er nominelt tilkoblet. Den kombinasjonen er vanlig på dual-stack-nettverk, fordi VPN-en endret ruten til den ene familien og lot den andre være i fred. Den ytre tunnelen og trafikken inne i den er to separate adresseringsbeslutninger. Å teste den ene sier ingenting om den andre.

Kontroller både det klienten rapporterer, og hvilken familie forespørselen faktisk brukte, fordi et vertsnavn kan returnere begge slags svar.

To familier, to forskjellige ruter

Operativsystemet holder en rutetabell per adressefamilie. Å installere en standardrute for IPv4 installerer ikke en for IPv6, og et tunnelendepunkt som er nåbart over IPv4 sier ingenting om hvorvidt IPv6-trafikk kommer inn i det. Når det ikke finnes noen IPv6-standardrute gjennom tunnelen, bruker verten den IPv6-ruten den har, og det er ofte den fysiske lenken. Fra applikasjonens synspunkt er forbindelsen rett og slett direkte.

Et vertsnavn som returnerer både A- og AAAA-poster gjør dette vanskeligere å se, fordi applikasjoner kan prøve familiene i ulik rekkefølge. En forespørsel som lykkes beviser ikke hvilken rute den tok. Bruk en test som navngir familien den prøvde.

Å nå serveren er ikke å bære trafikken

Leverandører bruker uttrykket IPv6-støtte om flere forskjellige egenskaper. Endepunktet kan godta en forbindelse over IPv6 mens tunnelen fortsatt bare bærer IPv4. Tunnelen kan bære indre IPv6-pakker mens den ytre transporten forblir IPv4. Eller klienten kan blokkere IPv6 helt, slik at ingenting slipper ut utenfor tunnelen. Det er tre forskjellige oppførsler, og en side som bare sier at IPv6 støttes, skiller dem ikke.

Spør hvilken av dem designet trenger. Et nettverk som må nå tjenester som bare finnes på IPv6, trenger å bære. Et nettverk som må hindre direkte IPv6-trafikk, trenger blokkering eller full bæring, ikke en etikett på en markedsføringsside.

Velg mellom å bære og å blokkere

Å bære betyr at tunnelen har en IPv6-adresse, en standardrute inne i den og en policy som tillater trafikken i begge ender. Å blokkere betyr at klienten bevisst stopper IPv6 fra å forlate tunnelen, noe som er trygt og ubrukelig for å nå IPv6-destinasjoner. Begge er legitime; ingen av dem er en standard du kan anta. Velg kravet først, og kontroller deretter at klienten faktisk implementerer det.

Et gjestenettverk med bare IPv4 kan ikke prøve en IPv6-rute, så en test som utføres der, sier ingenting om hjemmenettverket der begge familiene finnes. Test der den aktuelle familien faktisk tilbys.

Kill switch trenger samme dekning

En kill switch som bare dekker IPv4, lar den andre familien gå direkte ut, og det er nettopp den lekkasjen den skulle forhindre. Gå gjennom reglene for begge familier og for overgangsmomentene, mens tunnelen kommer opp eller går ned. Å slå av IPv6 systemvidt er ikke en erstatning: det kan ødelegge urelaterte tjenester og skjuler et klientpolicyproblem bak en maskinvid endring.

Hold DNS atskilt fra alt dette. DNS handler om hvem som svarer på spørringen, og hvordan spørringen reiser; applikasjonsforbindelsen som følger, har sin egen rute. Den ene kan være riktig mens den andre ikke er det, og å diagnostisere dem sammen gir forvirrede konklusjoner.

Noter hvilken familie hver test prøvde, og hvilken egenskap klienten hevder. Det paret med fakta besvarer spørsmålet som en støtteetikett aldri vil besvare.