A sua VPN transporta IPv6 ou apenas chega ao servidor?

Um teste de fuga apenas para IPv4 volta limpo, um teste de IPv6 mostra o seu endereço de casa e o túnel está nominalmente ligado. Essa combinação é comum em redes de pilha dupla, porque a VPN mudou o caminho de uma família e deixou a outra em paz. O túnel exterior e o tráfego lá dentro são duas decisões de endereçamento separadas. Testar uma delas não diz nada sobre a outra.

Verifique tanto o que o cliente relata como qual família o pedido realmente usou, porque um nome de host pode devolver os dois tipos de resposta.

Duas famílias, dois caminhos diferentes

O sistema operativo mantém uma tabela de encaminhamento por cada família de endereços. Instalar uma rota predefinida para IPv4 não instala uma para IPv6, e um ponto final de túnel alcançável por IPv4 não diz nada sobre se o tráfego IPv6 entra nele. Quando não existe uma rota predefinida IPv6 através do túnel, o anfitrião usa o caminho IPv6 que tiver, que muitas vezes é a ligação física. Do ponto de vista da aplicação, a ligação é simplesmente direta.

Um nome de host que devolve registos A e AAAA ao mesmo tempo torna isto mais difícil de ver, porque as aplicações podem tentar as famílias em ordens diferentes. Um pedido bem-sucedido não prova que caminho tomou. Use um teste que nomeie a família que exercitou.

Chegar ao servidor não é transportar o tráfego

Os fornecedores usam a expressão suporte de IPv6 para várias capacidades diferentes. O ponto final pode aceitar uma ligação por IPv6 enquanto o túnel ainda transporta apenas IPv4. O túnel pode transportar pacotes internos IPv6 enquanto o transporte exterior continua IPv4. Ou o cliente pode bloquear IPv6 por completo para que nada escape fora do túnel. São três comportamentos distintos, e uma página que só diz que o IPv6 é suportado não os distingue.

Pergunte qual deles o desenho exige. Uma rede que tem de chegar a serviços apenas IPv6 precisa de transporte. Uma rede que tem de impedir tráfego IPv6 direto precisa de bloqueio ou de transporte completo, não de uma etiqueta numa página de marketing.

Decida entre transportar e bloquear

Transportar significa que o túnel tem um endereço IPv6, uma rota predefinida dentro dele e uma política que permite o tráfego nas duas pontas. Bloquear significa que o cliente impede deliberadamente que o IPv6 saia fora do túnel, o que é seguro e inútil para chegar a destinos IPv6. Ambos são legítimos; nenhum é um valor predefinido que possa supor. Escolha primeiro o requisito e depois verifique se o cliente o implementa de facto.

Uma rede de convidados apenas IPv4 não pode exercitar um caminho IPv6, por isso um teste feito ali não diz nada sobre a rede de casa onde existem as duas famílias. Teste onde a família relevante é realmente oferecida.

O interruptor de segurança precisa da mesma cobertura

Um interruptor de segurança que só cobre IPv4 deixa a outra família livre de sair diretamente, e é exatamente a fuga que devia impedir. Reveja as suas regras para as duas famílias e para os momentos de transição, enquanto o túnel sobe ou desce. Desligar IPv6 em todo o sistema não é um substituto: pode quebrar serviços não relacionados e esconde um problema de política do cliente atrás de uma alteração em toda a máquina.

Mantenha o DNS separado de tudo isto. O DNS diz respeito a quem responde à consulta e a como a consulta viaja; a ligação de aplicação que se segue tem o seu próprio caminho. Uma pode estar correta enquanto a outra não está, e diagnosticá-las juntas produz conclusões confusas.

Registe que família cada teste exercitou e que capacidade o cliente afirma. Esse par de factos responde à pergunta que uma etiqueta de suporte nunca responderá.