VPN ਲੀਕ ਠੀਕ ਕਰਨ ਲਈ IPv6 ਬੰਦ ਕਰੀਏ? ਇਸ ਦੀ ਥਾਂ ਨੀਤੀ ਤੈਅ ਕਰੋ
ਲਿੰਕ-ਲੋਕਲ ਪਤਾ ਲੀਕ ਨਹੀਂ ਹੈ ਅਤੇ ਗਲੋਬਲ IPv6 ਰੂਟ ਵੀ ਨਹੀਂ। ਪਹਿਲਾਂ ਬਲਾਕ ਕਰਨ, ਲਿਜਾਣ ਜਾਂ ਛੱਡਣ ਵਿੱਚੋਂ ਚੁਣੋ।
IPv6 ਰੇਂਜ ਦਾ ਇੱਕ ਪਤਾ ਟੈਸਟ ਪੇਜ਼ ਉੱਤੇ ਦਿਖਦਾ ਹੈ, ਟਨਲ ਸਪੱਸ਼ਟ ਤੌਰ ਉੱਤੇ ਉਸਨੂੰ ਨਹੀਂ ਲਿਜਾ ਰਹੀ, ਅਤੇ ਇੰਟਰਨੈੱਟ ਦੀ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਸਲਾਹ ਹੈ IPv6 ਨੂੰ ਹਰ ਥਾਂ ਬੰਦ ਕਰਨਾ। ਉਹ ਕਮਾਂਡ ਪੈਨਲ ਨੂੰ ਸੱਚਮੁੱਚ ਚੁੱਪ ਕਰ ਦਿੰਦੀ ਹੈ। ਪਰ ਇਹ ਉਸ ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਵੀ ਹਟਾ ਦਿੰਦੀ ਹੈ ਜਿਸ ਉੱਤੇ ਐਕਸੈਸ ਨੈੱਟਵਰਕ ਨਿਰਭਰ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਨੂੰ ਬਿਨਾਂ ਕਿਸੇ ਅੰਦਾਜ਼ੇ ਦੇ ਛੱਡ ਦਿੰਦੀ ਹੈ ਕਿ ਪਤਾ ਅਸਲੀ ਲੀਕ ਸੀ, ਲਿੰਕ-ਲੋਕਲ ਇੰਟਰਫੇਸ ਪਤਾ ਸੀ, ਜਾਂ ਆਪਣਾ ਕੰਮ ਕਰ ਰਿਹਾ ਰਿਜ਼ੋਲਵਰ ਸੀ। ਸਹੀ ਨਿਯੰਤਰਣ ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਬਲਾਕ ਕਰਨ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ।
ਪਛਾਣੋ ਕਿ ਸਾਧਨ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਮਾਪਿਆ
ਸਭ ਤੋਂ ਆਮ ਝੂਠਾ ਅਲਾਰਮ ਲਿੰਕ-ਲੋਕਲ ਪਤਾ ਹੈ, ਜੋ fe80: ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਅਤੇ IPv6 ਸਮਰੱਥ ਹਰ ਇੰਟਰਫੇਸ ਉੱਤੇ ਮੌਜੂਦ ਹੁੰਦਾ ਹੈ, ਭਾਵੇਂ ਮਸ਼ੀਨ IPv6 ਰਾਹੀਂ ਇੰਟਰਨੈੱਟ ਤੱਕ ਪਹੁੰਚੇ ਜਾਂ ਨਾ। ਇਹ ਇੰਟਰਫੇਸ ਸੂਚੀਆਂ ਅਤੇ ਕੁਝ ਐਪਲੀਕੇਸ਼ਨ ਨਿਦਾਨਾਂ ਵਿੱਚ ਦਿਖਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡੇ ਟ੍ਰੈਫਿਕ ਮਾਰਗ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ।
ਦੂਜਾ ਝੂਠਾ ਅਲਾਰਮ fc00::/7 ਦੇ ਅੰਦਰ ਇੱਕ ਵਿਲੱਖਣ ਸਥਾਨਕ ਪਤਾ ਹੈ, ਜੋ ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਵਰਤੀ ਜਾਣ ਵਾਲੀ ਨਿੱਜੀ ਰੇਂਜ ਹੈ। ਹੋਸਟ ਦੇ ਹਰ ਪਤੇ ਨੂੰ ਛਾਪਣ ਵਾਲਾ ਸਾਧਨ ਉਸਨੂੰ ਜਨਤਕ ਪਤੇ ਦੇ ਕੋਲ ਖੁਸ਼ੀ ਨਾਲ ਸੂਚੀਬੱਧ ਕਰੇਗਾ। ਜਲਦੀ ਪੜ੍ਹਨ ਵਾਲਾ ਕੋਈ ਇਸਨੂੰ ਲੀਕ ਕਹਿੰਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਨਾ ਹੋਣ ਵਾਲੀ ਸਮੱਸਿਆ ਉੱਤੇ ਇੱਕ ਘੰਟਾ ਬਿਤਾਉਂਦਾ ਹੈ।
ਤੀਜਾ ਕੋਈ ਝੂਠਾ ਅਲਾਰਮ ਨਹੀਂ ਹੈ। ਟਨਲ ਤੋਂ ਬਾਹਰ ਇੰਟਰਨੈੱਟ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਗਲੋਬਲ ਪਤਾ ਹੀ ਅਸਲੀ ਲੀਕ ਹੈ, ਅਤੇ ਕੁਝ ਵੀ ਤੈਅ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਮਾਪਣਾ ਲਾਭਦਾਇਕ ਹੈ:
ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.coਜੇ ਪਹਿਲੀ ਕਮਾਂਡ ਗਲੋਬਲ ਪਤਾ ਛਾਪਦੀ ਹੈ ਅਤੇ ਤੀਜੀ ਉਹ ਜਨਤਕ IPv6 ਪਤਾ ਵਾਪਸ ਕਰਦੀ ਹੈ ਜੋ ਟਨਲ ਦਾ ਨਹੀਂ, ਤਾਂ ਟਨਲ ਤੋਂ ਬਾਹਰ ਤੁਹਾਡਾ ਅਸਲੀ ਮਾਰਗ ਹੈ। ਜੇ ਪਹਿਲੀ ਲਿੰਕ-ਲੋਕਲ ਐਂਟਰੀਆਂ ਤੋਂ ਇਲਾਵਾ ਕੁਝ ਨਹੀਂ ਛਾਪਦੀ, ਤਾਂ ਠੀਕ ਕਰਨ ਵਾਲੀ ਕੋਈ ਲੀਕ ਕਦੇ ਸੀ ਹੀ ਨਹੀਂ।
ਨਿਯੰਤਰਣ ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ
ਫੈਸਲਾ "IPv6 ਚੰਗਾ" ਜਾਂ "IPv6 ਮਾੜਾ" ਨਹੀਂ ਹੈ। ਫੈਸਲਾ ਇਹ ਹੈ ਕਿ ਤੁਸੀਂ ਤਿੰਨ ਸਥਿਤੀਆਂ ਵਿੱਚੋਂ ਕਿਹੜੀ ਵਿੱਚ ਹੋ, ਅਤੇ ਹਰ ਇੱਕ ਦਾ ਸਹੀ ਜਵਾਬ ਵੱਖਰਾ ਹੈ ਅਤੇ ਗਲਤੀ ਕਰਨ ਉੱਤੇ ਕੀਮਤ ਵੀ ਵੱਖਰੀ ਹੈ।
| Situation | Correct control | Cost if you disable IPv6 instead |
|---|---|---|
| Exit has no IPv6, host does | Block IPv6 deliberately in the tunnel policy | Same visible result, no documentation of intent |
| Exit carries IPv6, host leaks | Route IPv6 into the tunnel and verify | You lose IPv6 reachability entirely |
| Access network is IPv6-only | Change nothing; use the tunnel's IPv6 | Machine loses connectivity completely |
ਪਹਿਲੀ ਕਤਾਰ ਉਹ ਹੈ ਜੋ ਲੋਕ ਆਮ ਤੌਰ ਉੱਤੇ ਭਾਵ ਰੱਖਦੇ ਹਨ, ਅਤੇ ਇਹ ਜਾਇਜ਼ ਹੈ। ਜਿਸ ਕਲਾਇੰਟ ਦੇ ਐਗਜ਼ਿਟ ਵਿੱਚ IPv6 ਸਮਰਥਨ ਨਹੀਂ, ਉਸਨੂੰ ਹੋਸਟ ਦਾ ਆਪਣਾ IPv6 ਟ੍ਰੈਫਿਕ ਚੁੱਪਚਾਪ ਬਾਹਰ ਨਹੀਂ ਜਾਣ ਦੇਣਾ ਚਾਹੀਦਾ, ਕਿਉਂਕਿ ਉਹੀ ਦਰਜ ਦੋਹਰਾ-ਸਟੈਕ ਲੀਕ ਹੈ। ਗੱਲ ਇਸਨੂੰ ਘੋਸ਼ਿਤ ਨੀਤੀ ਵਜੋਂ ਬਲਾਕ ਕਰਨ ਦੀ ਹੈ, ਕਰਨਲ ਵਿੱਚ ਪ੍ਰੋਟੋਕੋਲ ਬੰਦ ਕਰਨ ਦੀ ਨਹੀਂ। ਦਿਖਣ ਵਾਲਾ ਨਤੀਜਾ ਇੱਕੋ ਜਿਹਾ ਹੈ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਜਾਂਚਿਆ ਜਾ ਸਕਣ ਵਾਲਾ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਹੈ।
ਤੀਜੀ ਕਤਾਰ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਆਮ ਸਲਾਹ ਸਰਗਰਮੀ ਨਾਲ ਨੁਕਸਾਨਦੇਹ ਬਣਦੀ ਹੈ। ਮੋਬਾਈਲ ਆਪਰੇਟਰ ਅਤੇ ਕੁਝ ਘਰੇਲੂ ਕਨੈਕਸ਼ਨ IPv4 ਮੰਜ਼ਿਲਾਂ ਲਈ ਅਨੁਵਾਦ ਸਮੇਤ IPv6-only ਨੈੱਟਵਰਕ ਚਲਾਉਂਦੇ ਹਨ। ਉੱਥੇ IPv6 ਹਟਾਓ ਤਾਂ ਨੈੱਟਵਰਕ ਵੱਲੋਂ ਦਿੱਤਾ ਇੱਕੋ-ਇੱਕ ਟਰਾਂਸਪੋਰਟ ਹਟਾ ਦਿਓਗੇ, ਜੋ ਤੁਹਾਡੇ ਡੀਬੱਗ ਕੀਤੇ ਜਾ ਰਹੇ ਭੰਗ ਤੋਂ ਕਿਤੇ ਵੱਧ ਮਾੜੀ ਰੁਕਾਵਟ ਪੈਦਾ ਕਰਦਾ ਹੈ।
ਜੇ ਐਗਜ਼ਿਟ ਵਿੱਚ IPv6 ਨਹੀਂ ਹੈ, ਤਾਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਬਲਾਕ ਕਰੋ
ਕਲਾਇੰਟ ਦੀ ਆਪਣੀ ਵਿਵਸਥਾ ਨੂੰ ਤਰਜੀਹ ਦਿਓ, ਕਿਉਂਕਿ ਇਹ ਠੀਕ ਉਦੋਂ ਲਾਗੂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਟਨਲ ਚਾਲੂ ਹੈ ਅਤੇ ਟਨਲ ਡਿੱਗਣ ਉੱਤੇ ਵਾਪਸ ਹਟ ਜਾਂਦੀ ਹੈ। OpenVPN ਕੋਲ ਇਸ ਲਈ ਵਿਕਲਪ ਹੈ, ਅਤੇ ਹੋਰ ਕਲਾਇੰਟਾਂ ਲਈ iptables ਕੋਲ ਬਰਾਬਰ ਦਾ ਨਿਯਮ ਹੈ:
block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachableਨਿਰਦੇਸ਼ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਰਹਿੰਦਾ ਹੈ; ਨਿਯਮ ਉਸ ਫਾਇਰਵਾਲ ਵਿੱਚ ਰਹਿੰਦਾ ਹੈ ਜਿਸਨੂੰ ਤੁਸੀਂ ਜਾਂਚ ਸਕਦੇ ਹੋ ਅਤੇ ਹਟਾ ਸਕਦੇ ਹੋ। ਦੋਵੇਂ ਬੰਦ ਹਾਲਤ ਵਿੱਚ ਫੇਲ ਹੁੰਦੇ ਹਨ, ਜੋ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਹੋ, ਅਤੇ ਦੋਵੇਂ ਕਨਫਿਗਰੇਸ਼ਨ ਡਿਫ ਵਿੱਚ ਦਿਖਦੇ ਹਨ, ਜੋ ਸਟਾਰਟਅਪ ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਦੱਬਿਆ ਕਰਨਲ sysctl ਨਹੀਂ ਦਿਖਦਾ।
ਇਹ ਕਿਉਂ ਹੈ ਲਿਖੋ। ਟਿੱਪਣੀ ਤੋਂ ਬਿਨਾਂ ਬਲਾਕਿੰਗ ਨਿਯਮ ਨੂੰ ਅਗਲਾ ਉਹ ਵਿਅਕਤੀ ਹਟਾ ਦਿੰਦਾ ਹੈ ਜਿਸਨੂੰ IPv6 ਕਿਸੇ ਹੋਰ ਕੰਮ ਲਈ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਲੀਕ ਚੁੱਪਚਾਪ ਵਾਪਸ ਆ ਜਾਂਦੀ ਹੈ।
ਜੇ ਐਗਜ਼ਿਟ IPv6 ਲਿਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਰੂਟ ਕਰੋ ਅਤੇ ਦੋਵੇਂ ਫੈਮਿਲੀ ਜਾਂਚੋ
ਸਰਵਰ ਸਮਰਥਨ ਕਰੇ ਤਾਂ IPv6 ਲਿਜਾਣਾ ਬਿਹਤਰ ਜਵਾਬ ਹੈ, ਅਤੇ ਇਹ ਬਹੁਤ ਮੁਸ਼ਕਲ ਨਹੀਂ। ਸ਼ਰਤ ਇਹ ਹੈ ਕਿ ਟਨਲ ਇੰਟਰਫੇਸ ਕੋਲ ਉਸ ਫੈਮਿਲੀ ਦਾ ਪਤਾ ਹੋਵੇ ਅਤੇ ਉਸਦਾ ਡਿਫਾਲਟ ਰੂਟ ਭੌਤਿਕ ਇੰਟਰਫੇਸ ਤੋਂ ਬਾਹਰ ਨਹੀਂ, ਟਨਲ ਵਿੱਚ ਅੰਦਰ ਵੱਲ ਹੋਵੇ:
ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.coਰੂਟ ਖੋਜ ਹੀ ਨਿਰਣਾਇਕ ਟੈਸਟ ਹੈ: ਜੇ ਇਹ ਟਨਲ ਇੰਟਰਫੇਸ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਤਾਂ IPv6 ਟ੍ਰੈਫਿਕ ਲਿਜਾਇਆ ਜਾ ਰਿਹਾ ਹੈ। ਫਿਰ ਦੋ curl ਕਾਲਾਂ ਪੁਸ਼ਟੀ ਕਰਦੀਆਂ ਹਨ ਕਿ ਹਰ ਫੈਮਿਲੀ ਕੀ ਵੇਖਦੀ ਹੈ, ਅਤੇ ਉਨ੍ਹਾਂ ਦੀ ਤੁਲਨਾ ਕਰਨਾ ਹੀ ਇਹ ਸਾਬਤ ਕਰਨ ਦਾ ਤਰੀਕਾ ਹੈ ਕਿ ਦੋਵੇਂ ਮਾਰਗ ਹੁਣ ਇੱਕੋ ਐਗਜ਼ਿਟ ਰਾਹੀਂ ਨਿਕਲਦੇ ਹਨ।
ਸਫਲ ਕਨੈਕਸ਼ਨ ਉੱਤੇ ਰੁਕੋ ਨਾ। ਟਨਲ ਦੁਬਾਰਾ ਜੋੜੋ ਅਤੇ ਦੁਬਾਰਾ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਸਰਵਰ ਸਿਰਫ਼ ਸ਼ੁਰੂਆਤੀ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਭੇਜੇ ਤਾਂ ਧੱਕਿਆ IPv6 ਰੂਟ ਮੁੜ-ਸਥਾਪਨਾ ਵੇਲੇ ਗੁੰਮ ਹੋ ਸਕਦਾ ਹੈ। ਫਿਰ ਇੱਕ ਬਾਹਰ ਰੱਖੀ ਮੰਜ਼ਿਲ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਸਪਲਿਟ-ਟਨਲ ਨਿਯਮਾਂ ਵਿੱਚ ਹੀ ਦੋਵੇਂ ਫੈਮਿਲੀ ਸਭ ਤੋਂ ਵੱਧ ਵੱਖਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ।
ਜੇ ਐਕਸੈਸ ਨੈੱਟਵਰਕ ਸਿਰਫ਼ IPv6 ਹੈ, ਤਾਂ ਇਸਨੂੰ ਛੱਡੋ
ਕੁਝ ਨੈੱਟਵਰਕ ਸਿਰਫ਼ IPv6 ਦਿੰਦੇ ਹਨ ਅਤੇ ਉਮੀਦ ਕਰਦੇ ਹਨ ਕਿ ਡਿਵਾਈਸ ਆਪਰੇਟਰ ਵੱਲ ਦੀ ਅਨੁਵਾਦ ਵਿਵਸਥਾ ਰਾਹੀਂ IPv4 ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚੇਗਾ। ਅਜਿਹੀ ਮਸ਼ੀਨ ਉੱਤੇ IPv6 ਬੰਦ ਕਰਨਾ ਸੁਰੱਖਿਆ ਸੁਧਾਰ ਨਹੀਂ ਹੈ; ਇਹ ਕਿਸੇ ਵੀ ਚੀਜ਼ ਤੱਕ ਦਾ ਇੱਕੋ-ਇੱਕ ਮਾਰਗ ਹਟਾ ਦਿੰਦਾ ਹੈ। ਇਹ ਆਪਣੇ ਆਪ ਪੈਦਾ ਕੀਤੀ ਰੁਕਾਵਟ ਹੈ, ਜਿਸਦੀ ਕਿਸੇ ਨੂੰ ਵੀ ਲੋੜ ਨਹੀਂ ਸੀ।
ਇੱਥੇ ਗਲਤੀ ਦਾ ਲੱਛਣ ਵੱਖਰਾ ਅਤੇ ਅਪ੍ਰੀਅ ਹੈ: ਟਨਲ ਸਥਾਪਤ ਹੁੰਦੀ ਜਾਪਦੀ ਹੈ, ਨਾਮ ਵਿਸ਼ਲੇਸ਼ਣ ਚੱਲਦਾ ਹੈ, ਅਤੇ ਕੁਝ ਲੋਡ ਨਹੀਂ ਹੁੰਦਾ। IPv6 ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਇਹ ਦਿਖੇ ਤਾਂ ਤੁਰੰਤ ਸੈਟਿੰਗ ਵਾਪਸ ਲਿਆਓ ਅਤੇ ਨਿਦਾਨ ਕਿਤੇ ਹੋਰ ਜਾਰੀ ਰੱਖੋ।
ਤੁਸੀਂ ਕੁਝ ਵੀ ਚੁਣੋ, ਫੈਸਲਾ ਪ੍ਰੋਫਾਈਲ ਜਾਂ ਫਾਇਰਵਾਲ ਵਿੱਚ ਸਪੱਸ਼ਟ ਰੱਖੋ, ਇਸਨੂੰ ਉਸ ਨਾਲ ਜੋੜੋ ਜਿਸਦਾ ਐਗਜ਼ਿਟ ਅਸਲ ਵਿੱਚ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਅਤੇ RFC 7359 ਦੀ ਦੋਹਰੀ-ਸਟੈਕ ਚਰਚਾ ਜੋ ਦੋਹਰਾ-ਸਟੈਕ ਵਿਵਹਾਰ ਦੱਸਦੀ ਹੈ ਉਸਨੂੰ ਨੋਟ ਕਰੋ। ਘੋਸ਼ਿਤ ਬਲਾਕ ਇੱਕ ਨੀਤੀ ਹੈ। ਬੰਦ ਕੀਤਾ ਪ੍ਰੋਟੋਕੋਲ ਅਜਿਹਾ ਉਪਾਅ ਹੈ ਜਿਸਦਾ ਕੋਈ ਆਡਿਟ ਨਹੀਂ ਕਰ ਸਕਦਾ, ਅਤੇ ਟੈਸਟ ਪੇਜ਼ ਤੋਂ ਦੋਵੇਂ ਇੱਕੋ ਜਿਹੇ ਦਿਖਦੇ ਹਨ।