Cum să testați IPv6 printr-un VPN cu propria resursă
Nu aveți nevoie de un verificator IPv6 public pentru a dovedi că o cale funcționează. Folosiți o resursă pe care o controlați, capturați ambele capete și notați ce nu a acoperit testul.
O pagină publică de verificare IP răspunde la o singură întrebare, și de obicei nu la cea pe care ați pus-o. Vă spune adresa de ieșire pe care a văzut-o pagina; nu vă spune dacă ruta IPv6 prin tunel funcționează, dacă gazda a preferat IPv6 sau a revenit, ori dacă o aplicație exclusă a luat altă cale. O resursă autorizată pe care o controlați răspunde corect la întrebarea mai îngustă, pentru că vedeți ambele capete. Ghidul de mai jos este despre a ajunge la o concluzie pe care o puteți apăra, nu despre a obține un rezultat verde.
Pasul 1: spuneți ce cale IPv6 testați
Spuneți-o într-o propoziție. O cerere către adresa IPv6 proprie a serverului tunelului testează tunelul; o cerere către o gazdă dincolo de ieșire testează ieșirea IPv6 a ieșirii; o cerere către o adresă IPv6 privată testează o rută internă.
Sunt trei afirmații diferite și o singură cerere reușită nu le poate susține pe toate. Alegeți-o pe cea care contează pentru decizia din fața dumneavoastră și notați-o înainte de a rula ceva. Dacă îngrijorarea este dacă IPv6 se scurge în jurul tunelului, întrebarea este despre selecția rutei de către gazdă, nu despre accesibilitatea ieșirii. Dacă îngrijorarea este dacă partea îndepărtată poate ajunge la un serviciu intern, ieșirea este irelevantă.
Pasul 2: confirmați că gazda selectează acea rută
ip -6 route get 2001:db8:1::10 afișează ruta, adresa sursă și interfața pe care nucleul ar folosi-o, iar de acest fapt depinde restul testului.
Existența unei interfețe nu este același lucru cu selectarea ei. Gazdele cu stivă dublă au un tabel de precedență, iar /etc/gai.conf pe Linux poate schimba ce familie câștigă pentru un nume care se rezolvă la ambele.
Pasul 3: folosiți o destinație și un nume legitime
Dacă testați HTTPS, folosiți numele de gazdă pentru care a fost emis certificatul și țineți verificarea activă; trecerea la o adresă literală ca testul să treacă dezactivează exact verificarea care dovedește că ați ajuns la gazda dorită. Un serviciu de diagnostic pe care îl controlați, care răspunde pe un nume cunoscut cu un certificat valid, este cea mai curată țintă. Vă oferă și o linie de jurnal pe partea serverului cu care să corelați, ceea ce un verificator terț nu va oferi niciodată.
Rulați cererea într-o formă care arată adresa folosită: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Opțiunea -6 forțează familia, și așa separați IPv6 nu funcționează de IPv6 nu a fost preferat.
Pentru un test pur de accesibilitate unde ICMPv6 este permis, ping -6 -c 3 2001:db8:1::10 este suficient. Dovedește calea și nimic deasupra ei.
Pasul 4: corelați ambele capete
Când aveți acces la ambele capete, rulați tcpdump -ni any ip6 and host 2001:db8:1::10 pe client și echivalentul pe resursă, cu marcaje de timp, și confirmați că același flux apare pe ambele. Aceasta transformă un rezultat plauzibil în dovadă: doar vedere clientului nu poate distinge un răspuns al resursei de un răspuns al ceva de la mijloc. Țineți captura îngustă la o singură destinație, ca ieșirea să rămână lizibilă și sesiunea nelegată a nimănui să nu ajungă în fișier.
Repetați testul după o reconectare dacă îngrijorarea este dacă politica supraviețuiește unei reporniri. Starea rutei și a paravanului aplicată o dată la conectare poate diferi de starea reaplicată, iar diferența apare doar la a doua conectare.
Testați separat cazul de eșec dacă aveți nevoie. Un tunel care blochează IPv6 când cade și unul care îl lasă să scape sunt proiecte diferite, și doar unul dintre ele poate fi verificat cu o cerere reușită.
Pasul 5: notați ce nu a dovedit testul
Al cincilea pas este să notați ce nu a dovedit testul, și tocmai această parte este omisă. Un test reușit către un punct final privat nu dovedește ieșirea IPv6 publică, nu dovedește comportamentul DNS și nu acoperă aplicațiile pe care le-ați exclus din tunel. Fiecare dintre acestea are nevoie de propria destinație și de propria observație. O notă care spune că IPv6 funcționează după o cerere către o gazdă nu este o constatare; este o presupunere cu marcaj de timp.
Înregistrarea care merită păstrată este scurtă: destinația, numele, adresa sursă pe care a ales-o gazda, adresa îndepărtată observată și ora. RFC 7359 discută cum se testează că o rută IPv6 relevantă este într-adevăr utilizabilă, și acesta este standardul la care acest ghid se apropie cu instrumente mai simple. Dacă concluzia are nevoie de un verificator public ca să fie adevărată, testul nu a fost suficient de specific.