د VPN د توییدو د سمولو لپاره IPv6 بند کړو؟ پر ځای یې تګلاره وټاکئ
د link-local پته توییدنه نه ده او نړیواله IPv6 لار هم نه ده. لومړی د بندولو، وړلو او پرېښودو ترمنځ غوره کړئ.
د IPv6 له سیمې یوه پته په ازموینې پاڼه کې ښکاري، تونل یې په څرګند ډول نه وړي، او په انټرنیټ کې تر ټولو مشهوره سلا دا ده چې IPv6 هر چېرې بند کړئ. هغه حکم پینل رښتیا هم غلی کوي. خو هغه یو پروتوکول هم لرې کوي چې د لاسرسي شبکه کېدای شي پرې تکیه وکړي، او تاسو له دې پرته پرېږدي چې پته ریښتینې توییدنه وه، د link-local انټرفیس پته وه، که یو resolver چې خپله دنده ترسره کوي. سم کنټرول درې شرطونه ټاکي، او یوازې یو له هغو بندولو ته رسوي.
وټاکئ چې وسیلې په رښتیا څه اندازه کړل
تر ټولو عامه غلطه خبرداری د link-local پته ده، چې په fe80: پیل کیږي او په هر IPv6 وړ انټرفیس کې شته، که ماشین د IPv6 له لارې انټرنیټ ته ورسیږي یا نه. دا د انټرفیسونو په لیستونو او ځینو غوښتنلیکونو تشخیص کې ښکاري، او ستاسو د ټرافیک لارې په اړه هېڅ نه وايي.
دوهمه غلطه خبرداری په fc00::/7 کې یوه ځانګړې سیمه ایزه پته ده، چې د شبکې دننه کارول کیږي شخصي سیمه ده. هغه وسیله چې د کوربه هر پته چاپوي به یې په خوښۍ سره د عامې پتې ترڅنګ لیست کړي. هر څوک چې ژر ولولي هغه ته توییدنه وايي، بیا یو ساعت په داسې ستونزه تېروي چې نشته.
دریمه هېڅ غلطه خبرداری نه ده. هغه نړیواله پته چې له تونل بهر انټرنیټ ته رسیږي هماغه ریښتینې توییدنه ده، او د هر څه د پرېکړې مخکې یې اندازه کول ارزښت لري:
ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.coکه لومړی حکم نړیواله پته چاپ کړي او دریم د تونل نه وی عامه IPv6 پته بیرته راولي، نو له تونل بهر ستاسو ریښتینې لار شته. که لومړی له link-local ننوتلو پرته بل څه چاپ نه کړي، نو د سمولو توییدنه هېڅکله نه وه.
کنټرول درې شرطونه ټاکي
پرېکړه "IPv6 ښه" یا "IPv6 بد" نه ده. پرېکړه دا ده چې تاسو د درې حالتونو له کوم یو کې یاست، او هر یو سم ځواب توپیر لري او د غلطۍ په صورت کې بیه هم توپیر لري.
| Situation | Correct control | Cost if you disable IPv6 instead |
|---|---|---|
| Exit has no IPv6, host does | Block IPv6 deliberately in the tunnel policy | Same visible result, no documentation of intent |
| Exit carries IPv6, host leaks | Route IPv6 into the tunnel and verify | You lose IPv6 reachability entirely |
| Access network is IPv6-only | Change nothing; use the tunnel's IPv6 | Machine loses connectivity completely |
لومړی کرښه هغه څه ده چې خلک معمولا یې مانا لري، او هغه سمه ده. هغه کلاینت چې وتل یې IPv6 ملاتړ نه لري باید د کوربه خپل IPv6 ټرافیک په غلې توګه بهر پرېنږدي، ځکه هغه ثبت شوې دوه ګونی سټیک توییدنه ده. ټکی دا دی چې هغه د اعلان شوې تګلارې په توګه بند کړو، نه دا چې په کرنل کې پروتوکول بند کړو. ښکاره پایله یو شان ده او یوازې یو یې وروسته کتنې وړ دی.
دریمه کرښه هغه ځای دی چې عمومي سلا فعاله زیانمنونکې کیږي. موبایل آپریټرانو او ځینو کورنیو اړیکو د IPv4 منزلونو لپاره د ژباړې سره IPv6-only شبکې چلوي. هلته IPv6 لرې کړئ او یوازینی ترانسپورت لرې کوئ چې شبکه یې وړاندې کوي، دا له هغې خرابۍ ډېره بدې وقفې رامنځته کوي چې تاسو یې سمول.
که وتل IPv6 نه لري، په قصد یې بند کړئ
د کلاینت خپل میکانزم غوره کړئ، ځکه هغه په سمه توګه تر هغه پورې پلي کیږي چې تونل پورته وي او کله چې ولویږي بیرته کیږي. OpenVPN د دې لپاره اختیار لري، او iptables نورو کلاینتونو لپاره مساوي قاعده لري:
block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachableلارښوونه پروفایل ته اړه لري؛ قاعده هغې اور وژونکې ته اړه لري چې تاسو یې کتنه او لرې کولای شئ. دواړه په بند حالت کې ناکام کیږي، چې تاسو یې غواړئ، او دواړه د ترتیباتو په diff کې ښکاري، چې په پیل سکریپټ کې ښخ شوی کرنل sysctl نه ښکاري.
ولیکئ چې ولې هلته دی. بې تبصرې بندولو قاعده بله هغه کس لرې کوي چې IPv6 بل څه ته ورته اړتیا لري، بیا توییدنه غلې بیرته راځي.
که وتل IPv6 وړي، لاره ورته جوړه کړئ او دواړه کورنۍ وآزمویئ
که سرور ملاتړ وکړي، IPv6 وړل غوره ځواب دی، او ډېر ستونزمن نه دی. شرط دا دی چې د تونل انټرفیس دې سیمې پته ولري او د هغې اصلي لار د فزیکي انټرفیس څخه بهر نه، بلکې د تونل دننه وښیي:
ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.coد لارې پلټنه هغه فیصله کوونکې ازموینه ده: که د تونل انټرفیس ونوموي، IPv6 ټرافیک وړل کیږي. بیا دوه curl غوښتنې تاییدوي چې هره کورنۍ څه ویني، او د هغوی پرتله کول هغه لار ده چې ثابته کړي دواړه لارې اوس له یوې وتنې څخه وځي.
په بریالۍ اړیکه کې مه درېږئ. تونل بیا وصل کړئ او بیا یې وګورئ، ځکه چې که سرور یې یوازې په پیل ترتیباتو کې واستوي، هل شوې IPv6 لاره د بیا جوړیدو پر مهال ورکیدای شي. بیا یوه ایستل شوې منزل وګورئ، ځکه چې د split-tunnel قواعدو کې هماغه دوه کورنۍ ډېری توپیر لري.
که د لاسرسي شبکه یوازې IPv6 وي، پرېږدئ یې
ځینې شبکې یوازې IPv6 درکوي او تمه لري چې وسیله د آپریټر خوا ته د ژباړې میکانزم له لارې IPv4 خدمتونو ته ورسیږي. په داسې ماشین کې IPv6 بندول امنیتي ښه والی نه دی؛ دا هر څه ته یوازینې لاره لرې کوي. دا هغه وقفه ده چې تاسو پخپله جوړه کړې، د هغې ازموینې پایلې لپاره چې هیچا ته اړتیا نه وه.
دلته د غلطۍ نښه ځانګړې او ناخوښه ده: تونل داسې ښکاري چې جوړیږي، د نومونو حل کار کوي، او هېڅ نه بار کیږي. که دا د IPv6 بدلون وروسته وګورئ، سمدلاسه ترتیبات بیرته راوګرځوئ او تشخیص بل ځای ته دوام ورکړئ.
هر څه چې غوره کړئ، پرېکړه په پروفایل یا اور وژونکې کې ښکاره وساتئ، هغه له هغه څه سره وتړئ چې وتل یې رښتیا ملاتړ کوي، او هغه دوه ګونی سټیک چلند ولیکئ چې د RFC 7359 دوه ګونی سټیک بحث یې بیانوي. اعلان شوی بندول یوه تګلاره ده. بند شوی پروتوکول هغه لار ده چې هیچا نشي کتنې کولای، او د ازموینې پاڼې څخه دواړه یو شان ښکاري.