Hvorfor IPv6-adressen din endrer seg mens VPN-tunnelen står oppe

To skjermbilder tatt en time fra hverandre viser forskjellige IPv6-kildeadresser, og den opplagte tolkningen er at tunnelen lekket eller koblet seg på nytt. Som regel skjedde ingen av delene. Maskinen bruker midlertidige adresser, en personvernfunksjon i operativsystemet som roterer grensesnittidentifikatoren etter en timer. Sammenligningen virket avgjørende bare fordi den forutsatte et felt som aldri var stabilt.

Hva en midlertidig adresse faktisk roterer

En midlertidig adresse bygges av prefikset til grensesnittet pluss en identifikator maskinen endrer, og den har en foretrukket og en gyldig levetid. Før den gyldige levetiden går ut, lager maskinen en erstatning, så to forbindelser kan lovlig gå ut fra forskjellige kilder. Link-local-adressen og prefikset selv blir stående, og slik kjenner nettverket fortsatt igjen maskinen.

Ingenting i den rotasjonen gjør en konto, en informasjonskapsel eller et nettlesermønster anonymt. Et nettsted som vil kjenne deg igjen har informasjonskapsler, innlogginger og fingeravtrykk, og en skiftende kildeadresse merkes knapt mot dem. Rotasjonen endrer ett felt i pakkehodet, og det feltet var aldri den eneste identifikatoren underveis.

Nettstedet ser én adresse, maskinen har flere

En tjener registrerer kilden til forespørselen den mottok, ikke noe mer. Maskinen kan ha flere adresser med ulike omfang og levetider, og hvilken som vinner avhenger av reglene for adressevalg og av målet. Å lese nettstedets verdi som maskinens adresse er der denne forvirringen begynner. Én maskin kan se ut som to maskiner for to nettsteder i samme øyeblikk, rett og slett fordi hver forbindelse valgte en annen adresse.

Se på grensesnittet under en test med ip -6 addr show dev eth0: flere adresser med levetidene sine betyr at rotasjonen finnes etter design. Spør så kjernen hvilken rute den ville brukt med ip -6 route get 2001:db8:10::5, som skriver ut enheten og den foretrukne kilden for det målet.

Sammenlign prefiks, grensesnitt og rute, ikke strengen

I VPN-testing er spørsmålet om pakken forlot maskinen gjennom tunnelen, og det er et spørsmål om ruting og regelverk. Kildeadressen er en svak peker på det: en adresse som roterer på tunnelets grensesnitt ligger fortsatt på tunnelen. En tunnel som kobler seg på nytt flytter vanligvis prefikset eller enheten i stedet, og de endringene er synlige uten å lese hele adressen.

Sammenlign derfor den valgte ruten, grensesnittet pakken gikk ut gjennom, og prefikset den bar med seg. Disse tre holder seg stabile nok fra kjøring til kjøring, og hver av dem betyr noe annet når den endres.

En endring er viktig når prefikset endres, når grensesnittet endres, eller når ruten til målet slutter å bruke tunnelen. En endring bare i grensesnittidentifikatoren, med samme prefiks og samme enhet, er personvernatferd som virker som tiltenkt. Hvis bare identifikatoren flyttet seg, målte testen personverntimeren og ikke dekningen. Skriv ned hvilken av de tre som flyttet seg før du gir tunnelen skylden.

Ikke skru av IPv6 for å få skjermbildene til å stemme

Å skru av IPv6 får gjentatte tester til å stemme, og det fjerner også en hel adressefamilie fra nettverket tunnelen din skal dekke. Når regelen er å føre IPv6, skjuler avskruingen et hull i dekningen i stedet for å lukke det.

Hvis regelen er å blokkere IPv6 til det støttes, blokker det bevisst og skriv beslutningen ned. Den neste administratoren trenger å se forskjellen mellom en dokumentert blokkering og en avskrudd stakk.

Hva som bør føres, og hva én test kan bevise

Før prefikset, grensesnittnavnet, den valgte ruten, målet og tidsstempelet, med hele adressen ved siden av. Spesifikasjonen for midlertidige adresser forklarer levetidene som driver rotasjonen, og derfor er hele adressen det minst stabile feltet i notatet. At to av de tre stabile feltene stemmer fra kjøring til kjøring er sterkere bevis enn en enkelt adressematch.

Én test er én observasjon av én forespørsel. Notatet er det som gjør den neste observasjonen til en sammenligning. Ta vare på begge, og neste uoverensstemmelse koster et blikk i stedet for en ettermiddag.