De ce adresa IPv6 se schimbă în timp ce VPN-ul rămâne pornit

Două capturi de ecran făcute la o oră distanță arată adrese sursă IPv6 diferite, iar lectura evidentă este că tunelul a scurs sau s-a reconectat. De obicei nu s-a întâmplat niciuna. Gazda folosește adrese temporare, o funcție de confidențialitate a sistemului de operare care rotește identificatorul interfeței după un temporizator. Comparația a părut concludentă doar pentru că presupunea un câmp care nu a fost niciodată stabil.

Ce rotește de fapt o adresă temporară

O adresă temporară este construită din prefixul interfeței plus un identificator pe care gazda îl schimbă, și poartă o durată de viață preferată și una validă. Înainte ca durata validă să expire, gazda generează un înlocuitor, așa că două conexiuni pot pleca legitim din surse diferite. Adresa de legătură locală și prefixul însuși rămân pe loc, și astfel rețeaua recunoaște în continuare mașina.

Nimic din această rotație nu face anonim un cont, un cookie sau un tipar de navigare. Un site care vrea să vă recunoască are cookie-uri, autentificări și amprente, iar o adresă sursă care se schimbă abia contează în fața lor. Rotația schimbă un câmp din antetul pachetului, iar acel câmp nu a fost niciodată singurul identificator pe traseu.

Site-ul vede o adresă, gazda ține mai multe

Un server înregistrează sursa cererii primite, nimic mai mult. Gazda poate ține mai multe adrese cu sfere și durate de viață diferite, iar care câștigă depinde de regulile de selecție a adreselor și de destinație. Citirea valorii site-ului ca adresă a mașinii este locul unde începe această confuzie. O singură gazdă poate arăta ca două mașini pentru două site-uri în același moment, pur și simplu pentru că fiecare conexiune a ales o altă adresă.

Priviți interfața în timpul unui test cu ip -6 addr show dev eth0: mai multe adrese cu duratele lor de viață înseamnă că rotația este prezentă prin proiectare. Apoi întrebați nucleul ce rută ar folosi cu ip -6 route get 2001:db8:10::5, care afișează dispozitivul și sursa preferată pentru acea destinație.

Comparați prefix, interfață și rută, nu șirul

În testarea VPN întrebarea este dacă pachetul a ieșit prin tunel, iar asta este o chestiune de rutare și politică. Adresa sursă este un indicator slab: o adresă care se rotește pe interfața tunelului este tot pe tunel. Un tunel care se reconectează deplasează de obicei prefixul sau dispozitivul, iar acele schimbări sunt vizibile fără a citi adresa completă.

Așadar comparați ruta selectată, interfața prin care a ieșit pachetul și prefixul pe care îl purta. Acestea trei rămân suficient de stabile între rulări, iar fiecare înseamnă altceva când se schimbă.

O schimbare contează când se schimbă prefixul, când se schimbă interfața sau când ruta către destinație nu mai folosește tunelul. O schimbare doar în identificatorul interfeței, cu același prefix și același dispozitiv, este comportament de confidențialitate care funcționează cum a fost gândit. Dacă s-a mișcat doar identificatorul, testul a măsurat temporizatorul de confidențialitate, nu acoperirea. Notați care dintre cele trei s-a mișcat înainte de a da vina pe tunel.

Nu dezactivați IPv6 ca să se potrivească capturile

Oprirea IPv6 face testele repetate să se potrivească și scoate o întreagă familie de adrese din rețeaua pe care tunelul ar trebui să o acopere. Când politica este să transportați IPv6, dezactivarea ascunde o lacună de acoperire în loc să o închidă.

Dacă politica este să blocați IPv6 până când este acceptată, blocați-o deliberat și notați decizia. Următorul administrator trebuie să vadă diferența dintre o blocare documentată și un stivă oprită.

Ce să înregistrați și ce poate demonstra un singur test

Înregistrați prefixul, numele interfeței, ruta selectată, destinația și momentul, cu adresa completă alături. Specificația adreselor temporare explică duratele de viață care antrenează rotația, de aceea adresa completă este câmpul cel mai puțin stabil din notă. Potrivirea a două dintre cele trei câmpuri stabile între rulări este o dovadă mai puternică decât orice potrivire a unei singure adrese.

Un singur test este o observație a unei singure cereri. Nota este ce transformă observația următoare într-o comparație. Păstrați ambele, iar următoarea nepotrivire va costa o privire în loc de o după-amiază.