Um endereço IPv6 global não significa que o tráfego contorne o túnel

Uma página de teste relata um endereço IPv6 global e a conclusão salta logo para tráfego que contorna a VPN. Essa conclusão exige dois factos que a página nunca mostrou: que aplicação fez o pedido e que rota o núcleo escolheu para ele. O âmbito do endereço descreve até onde um endereço pode ser encaminhado. Não diz nada sobre para onde foi este pacote em particular.

Âmbito e papel são perguntas diferentes com provas diferentes.

O âmbito responde quem o pode encaminhar, não quem o faz

Os endereços unicast globais são, em princípio, encaminháveis na internet pública, os endereços locais únicos destinam-se à topologia interna e os endereços locais de ligação existem apenas numa ligação. São propriedades do bloco de endereços. Se um pacote para um determinado destino sai pelo túnel decidem a tabela de encaminhamento e a política ligada à interface, e ambas podem apontar em qualquer direção.

Um endereço pode ter âmbito global e ainda assim ser transportado dentro de um túnel, porque o túnel é um caminho e não um plano de endereços.

Leia todos os endereços da interface, não o teste web

A saída da interface mostra vários endereços ao mesmo tempo: o endereço exterior na ligação física, o endereço do túnel e um endereço local de ligação por interface. O teste web mostra apenas o endereço de origem de um pedido. Comece com ip -6 addr show e anote que interface possui cada endereço e que comprimento de prefixo transporta, e depois pergunte que interface o pedido realmente usou.

Compare isso com ip -6 route get 2606:4700::1111, que imprime a interface e a origem que o núcleo escolheria para um destino.

Como um prefixo global acaba dentro de um túnel

Dois desenhos produzem um endereço global numa interface de túnel. O fornecedor pode delegar um prefixo encaminhado para o cliente através do túnel, o que torna o endereço global enquanto o caminho continua a ser o túnel. Ou o cliente mantém o seu endereço global nativo e o túnel transporta-o como tráfego interior enquanto o cabeçalho exterior faz o trabalho. Nenhum dos desenhos exige tradução, e a confusão começa onde os hábitos do IPv4 NAT são tomados como um requisito do IPv6.

Pergunte ao administrador qual dos dois se aplica. A resposta determina o que um servidor do outro lado vê como a sua origem.

Porque é que um endereço com aparência privada não é um sinal de confiança

Um endereço local único diz que o operador o destina ao encaminhamento interno, e nada mais. Não prova que o dispositivo é gerido, que o software é fiável ou que o tráfego está cifrado. Inversamente, um endereço global não prova que o tráfego escapou do túnel, e é precisamente essa suposição que todo este artigo existe para desmontar.

Julgue a confiança pela política, autenticação e cifra. A aparência de um endereço é uma heurística fraca que falha nos dois sentidos.

Teste rota e política como duas perguntas

Primeiro a rota: execute curl -6 https://ifconfig.me através do túnel e de novo pela interface física, e compare as respostas. Depois a política: confirme que prefixo o túnel transporta realmente e se o outro lado tem uma rota de retorno para ele. Um pedido bem-sucedido a um site público não prova nenhuma das duas, porque esse destino é alcançável de qualquer lugar. Use um destino interno para o teste de política.

Anote o endereço de origem que cada caminho produziu. Essa é a prova de que uma afirmação sobre contorno realmente precisa.