Qual origem IPv6 uma solicitação VPN escolhe, e por que isso importa

Você adicionou um endereço VPN e esperava que a solicitação o usasse, mas o servidor continuava registrando o prefixo antigo. Nada do túnel falhou; o host fez uma escolha de endereço de origem antes mesmo de consultar a rota que você encarava. A seleção de origem IPv6 é uma competição ordenada e separada entre os endereços candidatos do host, e o prefixo correspondente mais longo é apenas uma regra perto do fim dessa competição. Conseguir o resultado desejado significa saber qual regra já venceu. As próprias regras são enfadonhas e precisas, e é exatamente por isso que se deve lê-las em ordem.

Duas consultas, não uma

A seleção de destino escolhe o próximo salto e a interface de saída. Depois, a seleção de origem escolhe qual dos endereços do host aparece no cabeçalho, e as duas perguntas são respondidas por mecanismos diferentes embora ambas usem prefixos. Um host com um endereço físico, um endereço temporário e um endereço VPN tem três candidatos para qualquer destino, e a rota para a VPN não nomeia o terceiro automaticamente.

Por isso uma rota correta e uma origem incorreta convivem tão facilmente, e por isso a mesma solicitação pode se comportar de modo diferente a partir de um navegador e de uma vinculação forçada. Trate as duas consultas como separadas até ter provas que as liguem.

Leia as regras como uma competição ordenada

A RFC 6724 lista as regras em ordem, e cada uma apenas desempata o que as anteriores deixaram. A preferência de interface de saída e a correspondência de rótulos aparecem muito antes da comparação de prefixos, então um endereço na interface que a rota usa já ganhou uma vantagem que uma melhor correspondência de prefixo não consegue apagar. A obsolescência e o escopo também participam, e por isso um endereço antigo às vezes deixa de ser escolhido sem que ninguém mude a política.

A leitura prática é que você não pode raciocinar sobre o vencedor apenas a partir do destino. Liste os candidatos, percorra as regras em ordem e veja onde a decisão foi realmente tomada.

Note também que esta é a metade de origem do problema. Misturar as duas comparações de prefixo produz explicações que soam rigorosas e preveem o endereço errado. Diga a que comparação você se refere sempre que usar a palavra prefixo num ticket.

A vinculação da aplicação muda a pergunta

Uma aplicação pode pedir um endereço de origem específico, e uma escolha explícita válida desloca a pergunta de “qual endereço o host preferiria” para “esse endereço consegue alcançar o destino e voltar”. Ferramentas que se vinculam a uma origem, ou que pedem dados auxiliares sobre o endereço escolhido, expõem isso diretamente, e são a forma mais rápida de provar qual endereço uma conexão realmente usou. Esse experimento supera a terceira leitura da tabela de rotas, porque relata o que o núcleo decidiu e não o que você configurou. Repita-o após a mudança e compare as duas respostas.

Isso torna a vinculação de origem tanto uma ferramenta de diagnóstico quanto uma solução temporária: vincule o endereço VPN e observe se a solicitação tem sucesso. Se tiver, o caminho está bom e o problema era a seleção. Se falhar, o problema era desde o início o caminho de volta ou a política do lado remoto.

Verifique se o lado remoto aceita essa origem

Escolha o que escolher o host, precisa caber no escopo protegido da VPN e na rota de volta e nas regras de acesso da extremidade remota. Uma origem fora dos seletores pode entrar no túnel e ser descartada na extremidade remota, o que parece uma falha de um só sentido e é atribuído ao roteamento. Compare a origem interna escolhida com o escopo de proteção antes de tocar nas configurações de criptografia, porque mudar de modo não escolhe entre endereços candidatos.

Mantenha também o endereço do ponto final externo separado em seu raciocínio. Ele identifica o transporte entre os participantes da VPN e não é a origem do pacote da aplicação lá dentro.

Decida com quatro observações

Anote o destino utilizado, as origens locais elegíveis, a origem realmente escolhida e o caminho de saída efetivo. Quatro linhas bastam para explicar quase todos os casos, e podem ser comparadas entre um host que funciona e outro que falha sem reabrir o debate teórico. Para a etapa de seleção use a visão suportada do próprio sistema operacional em vez de um nome do padrão, porque as implementações acrescentam preferências locais próprias.

Quando a resposta ainda o surpreende, a ordenação está fazendo algo que seu modelo mental não faz, e a correção é mudar as entradas em vez de discutir com o algoritmo. Escreva as quatro observações no ticket e o próximo leitor poderá reproduzir sua conclusão.