Ваш VPN переносит IPv6 или только доходит до сервера?

Тест утечки только для IPv4 возвращается чистым, тест IPv6 показывает ваш домашний адрес, а туннель номинально подключён. Такое сочетание обычно в сетях с двойным стеком, потому что VPN изменил путь одного семейства и оставил другое в покое. Внешний туннель и трафик внутри него — это два отдельных решения об адресации. Проверка одного ничего не говорит о другом.

Проверяйте и то, что сообщает клиент, и то, какое семейство запрос действительно использовал, потому что имя хоста может вернуть оба типа ответа.

Два семейства, два разных пути

Операционная система ведёт таблицу маршрутизации для каждого семейства адресов. Установка маршрута по умолчанию для IPv4 не устанавливает его для IPv6, а конечная точка туннеля, доступная через IPv4, ничего не говорит о том, попадает ли в неё трафик IPv6. Когда через туннель нет маршрута по умолчанию IPv6, хост использует любой доступный путь IPv6, а это часто физический канал. С точки зрения приложения соединение просто прямое.

Имя хоста, возвращающее и записи A, и AAAA, затрудняет это увидеть, потому что приложения могут пробовать семейства в разном порядке. Успешный запрос не доказывает, каким путём он пошёл. Используйте тест, который называет проверенное семейство.

Дойти до сервера — не значит переносить трафик

Провайдеры используют выражение поддержка IPv6 для нескольких разных возможностей. Конечная точка может принимать соединение через IPv6, пока туннель по-прежнему переносит только IPv4. Туннель может переносить внутренние пакеты IPv6, пока внешний транспорт остаётся IPv4. Или клиент может полностью блокировать IPv6, чтобы ничего не уходило за пределы туннеля. Это три разных поведения, и страница, где сказано только поддерживается IPv6, их не различает.

Спросите, какое из них нужно проекту. Сети, которой нужно доходить до сервисов только с IPv6, нужен перенос. Сети, которая должна предотвращать прямой трафик IPv6, нужна блокировка или полный перенос, а не надпись на маркетинговой странице.

Выберите между переносом и блокировкой

Перенос означает, что у туннеля есть адрес IPv6, маршрут по умолчанию внутри него и политика, разрешающая трафик на обоих концах. Блокировка означает, что клиент намеренно не даёт IPv6 выходить за пределы туннеля, что безопасно и бесполезно для достижения целей IPv6. И то и другое законно; ни то ни другое не является значением по умолчанию, которое можно предполагать. Сначала выберите требование, затем проверьте, что клиент действительно его реализует.

Гостевая сеть только с IPv4 не может проверить путь IPv6, поэтому тест, сделанный там, ничего не говорит о домашней сети, где существуют оба семейства. Проверяйте там, где соответствующее семейство действительно предоставляется.

Выключателю защиты нужно то же покрытие

Выключатель защиты, охватывающий только IPv4, оставляет другому семейству свободу выходить напрямую, и это ровно та утечка, которую он должен был предотвратить. Просмотрите его правила для обоих семейств и для моментов перехода, когда туннель поднимается или падает. Отключение IPv6 на уровне всей системы не замена: оно может сломать несвязанные службы и скрывает проблему политики клиента за общесистемным изменением.

Держите DNS отдельно от всего этого. DNS касается того, кто отвечает на запрос и как запрос путешествует; у следующего за ним прикладного соединения свой путь. Одно может быть правильным, а другое нет, и совместная диагностика даёт путаные выводы.

Запишите, какое семейство проверил каждый тест и какую возможность заявляет клиент. Эта пара фактов отвечает на вопрос, на который ярлык поддержки никогда не ответит.