Por que seu endereço IPv6 muda enquanto a VPN continua ativa

Duas capturas de tela com uma hora de diferença mostram endereços de origem IPv6 distintos, e a leitura óbvia é que o túnel vazou ou se reconectou. Normalmente nenhuma das duas coisas aconteceu. O host usa endereços temporários, um recurso de privacidade do sistema operacional que roda o identificador da interface conforme um temporizador. A comparação parecia conclusiva só porque pressupunha um campo que nunca foi estável.

O que um endereço temporário realmente roda

Um endereço temporário é montado a partir do prefixo da interface mais um identificador que o host altera, e carrega um tempo de vida preferido e um válido. Antes que o tempo válido expire, o host gera um substituto, então duas conexões podem sair legitimamente de origens diferentes. O endereço de enlace local e o próprio prefixo ficam no lugar, e é assim que a rede ainda reconhece a máquina.

Nada nessa rotação torna anônimos uma conta, um cookie ou um padrão de navegação. Um site que queira reconhecê-lo tem cookies, logins e impressões digitais, e um endereço de origem variável quase não pesa diante disso. A rotação muda um campo no cabeçalho do pacote, e esse campo nunca foi o único identificador no caminho.

O site vê um endereço, o host tem vários

Um servidor registra a origem da requisição que recebeu, nada mais. O host pode ter vários endereços com escopos e tempos de vida diferentes, e qual vence depende das regras de seleção de endereço e do destino. Ler o valor do site como o endereço da máquina é onde essa confusão começa. Um único host pode parecer duas máquinas para dois sites no mesmo instante, simplesmente porque cada conexão escolheu um endereço diferente.

Olhe a interface durante um teste com ip -6 addr show dev eth0: vários endereços com seus tempos de vida significam que a rotação está presente por projeto. Depois pergunte ao kernel qual rota ele usaria com ip -6 route get 2001:db8:10::5, que imprime o dispositivo e a origem preferida para aquele destino.

Compare prefixo, interface e rota, não a string

Nos testes de VPN a pergunta é se o pacote saiu pelo túnel, e isso é uma questão de roteamento e política. O endereço de origem é um indicador fraco disso: um endereço que roda na interface do túnel continua no túnel. Um túnel que se reconecta normalmente desloca o prefixo ou o dispositivo, e essas mudanças são visíveis sem ler o endereço completo.

Então compare a rota selecionada, a interface pela qual o pacote saiu e o prefixo que ele carregava. Esses três permanecem estáveis o bastante entre execuções, e cada um significa algo diferente quando muda.

Uma mudança importa quando o prefixo muda, quando a interface muda ou quando a rota até o destino deixa de usar o túnel. Uma mudança apenas no identificador da interface, com o mesmo prefixo e o mesmo dispositivo, é privacidade funcionando como pretendido. Se só o identificador se moveu, o teste mediu o temporizador de privacidade em vez da cobertura. Anote qual dos três se moveu antes de culpar o túnel.

Não desative IPv6 para as capturas coincidirem

Desligar IPv6 faz os testes repetidos coincidirem, e também remove toda uma família de endereços da rede que o túnel deveria cobrir. Quando a política é transportar IPv6, desativá-lo esconde uma lacuna de cobertura em vez de fechá-la.

Se a política é bloquear IPv6 até que haja suporte, bloqueie deliberadamente e registre a decisão. O próximo administrador precisa ver a diferença entre um bloqueio documentado e uma pilha desativada.

O que registrar, e o que uma única prova pode demonstrar

Registre o prefixo, o nome da interface, a rota selecionada, o destino e o carimbo de tempo, com o endereço completo ao lado. A especificação dos endereços temporários explica os tempos de vida que movem a rotação, e por isso o endereço completo é o campo menos estável da nota. Que dois dos três campos estáveis coincidam entre execuções é evidência mais forte do que qualquer coincidência de um único endereço.

Uma única prova é uma observação de uma única requisição. A nota é o que transforma a observação seguinte em comparação. Guarde as duas, e a próxima divergência custará uma olhada em vez de uma tarde.