O adresă IPv6 globală nu înseamnă că traficul ocolește tunelul

O pagină de test raportează o adresă IPv6 globală, iar concluzia sare imediat la traficul care ocolește VPN-ul. Acea concluzie are nevoie de două fapte pe care pagina nu le-a arătat niciodată: ce aplicație a făcut cererea și ce rută a ales nucleul pentru ea. Domeniul adresei descrie cât de departe poate fi rutată o adresă. Nu spune nimic despre unde a mers exact acest pachet.

Domeniu și rol sunt întrebări diferite cu dovezi diferite.

Domeniul răspunde cine o poate ruta, nu cine o face

Adresele unicast globale sunt în principiu rutabile pe internetul public, adresele locale unice sunt destinate topologiei interne, iar adresele locale de legătură există doar pe o singură legătură. Acestea sunt proprietăți ale blocului de adrese. Dacă un pachet către o destinație dată iese prin tunel decid tabela de rutare și politica atașată interfeței, iar ambele pot indica în orice direcție.

O adresă poate avea domeniu global și totuși să fie transportată în interiorul unui tunel, pentru că tunelul este o cale, nu un plan de adrese.

Citește toate adresele de pe interfață, nu testul web

Ieșirea interfeței arată mai multe adrese deodată: adresa exterioară de pe legătura fizică, adresa tunelului și o adresă locală de legătură pentru fiecare interfață. Testul web arată doar adresa sursă a unei singure cereri. Începe cu ip -6 addr show și notează ce interfață deține fiecare adresă și ce lungime de prefix poartă, apoi întreabă ce interfață a folosit cererea de fapt.

Compară asta cu ip -6 route get 2606:4700::1111, care afișează interfața și sursa pe care nucleul le-ar alege pentru o destinație.

Cum ajunge un prefix global în interiorul unui tunel

Două modele produc o adresă globală pe o interfață de tunel. Furnizorul poate delega un prefix rutat către client prin tunel, ceea ce face adresa globală în timp ce calea rămâne tunelul. Sau clientul își păstrează adresa globală nativă, iar tunelul o transportă ca trafic interior în timp ce antetul exterior face treaba. Niciunul dintre modele nu cere traducere, iar confuzia începe acolo unde obiceiurile IPv4 NAT sunt luate drept cerință pentru IPv6.

Întreabă administratorul care dintre cele două se aplică. Răspunsul determină ce vede un server de cealaltă parte drept sursa ta.

De ce o adresă care pare privată nu este un semnal de încredere

O adresă locală unică spune că operatorul o destină rutării interne, și nimic mai mult. Nu dovedește că dispozitivul este administrat, că software-ul este de încredere sau că traficul este criptat. Invers, o adresă globală nu dovedește că traficul a scăpat din tunel, și exact această presupunere există tot acest articol ca să o desființeze.

Judecă încrederea după politică, autentificare și criptare. Aspectul adresei este o euristică slabă care eșuează în ambele direcții.

Testează ruta și politica ca două întrebări

Mai întâi ruta: rulează curl -6 https://ifconfig.me prin tunel și apoi prin interfața fizică, și compară răspunsurile. Apoi politica: confirmă ce prefix poartă tunelul de fapt și dacă cealaltă parte are o rută de întoarcere pentru el. O cerere reușită către un site public nu dovedește niciuna, pentru că acea destinație este accesibilă de oriunde. Folosește o destinație internă pentru testul de politică.

Notează adresa sursă pe care a produs-o fiecare cale. Aceasta este dovada de care o afirmație despre ocolire are nevoie cu adevărat.