IPv6 promet mimo VPN-a: pronaći rutu koja curi

Dvije testne stranice se ne slažu: jedna izvješćuje adresu pružatelja kroz tunel, druga izvješćuje vaš kućni prefiks, a očit zaključak je da VPN curi. Taj zaključak preskače jedan korak, jer su dva izvješća provela dvije različite odluke o usmjeravanju i samo je jedna od njih trebala ući u tunel. Praznina je obično stvarna, i to je problem pokrivenosti, a ne slomljen tunel. Tri pitanja to rješavaju: koji je tok doista izašao, koju je rutu kernel odabrao za njega i koje je ponašanje klijent namjeravao.

Radite tim redom. Odgovaranje izvan reda stvara dugu raspravu o tome je li klijent neispravan, dok je pravi odgovor da IPv6 ruta nikada nije ugrađena.

Koji je tok doista izašao i na kojem adapteru

Počnite testom koji imenuje korištenu obitelj, pa zapišite aplikaciju, pristupnu mrežu, profil na snazi i nudi li veza uopće IPv6. Te četiri činjenice čine dva pokretanja usporedivima, a četvrtu ljudi zaboravljaju: mreža bez v6 prefiksa ne može procuriti v6, a mreža koja ga kasnije doda mijenja odgovor.

Pošaljite jedan zahtjev po obitelji umjesto da učitate stranicu i pročitate njezin rezultat. Jedna stranica može miješati v6 i v4 resurse, pozadinski proces može se ponašati drugačije od kartice pred vama, a odgovor iz predmemorije može nadživjeti promjenu mreže koju pokušavate testirati. Fiksirajte odredište koje testirate i zapišite ga, da ponovljeno pokretanje mjeri istu stvar.

Čitanje rute koju je kernel odabrao

Tablica usmjeravanja odgovara na pitanje na koje preglednik ne može. Pitajte sustav kamo bi išlo određeno odredište i uključite i pravila politike i vidljivi zadani put, jer oboje može to nadjačati:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Specifičniji prefiks uobičajen je razlog zašto jedno odredište ostaje izvan tunela dok sve ostalo ostaje unutra, a pravilo politike može učiniti isto s višim prioritetom od bilo koje rute. Pročitajte i metriku, jer se dva unosa za isti prefiks rješavaju po metrici, a ne po njihovu redoslijedu na zaslonu. Na Windowsu je ekvivalentan popis Get-NetRoute -AddressFamily IPv6, poredan po metrici kako bi odgovarao redoslijedu odluke. Pravilo koje u tablici izgleda ispravno ipak može izgubiti od pravila politike s nižim brojem, zato popis pravila ide u istom dahu s popisom ruta.

Odakle dolazi klijentova IPv6 politika

Klijent može biti izgrađen tako da provede v6 kroz tunel, da ga odbije ili da dopusti imenovanu iznimku, a te tri namjere daju tri različita ispravna rezultata. Pročitajte profil i klijentovu dokumentaciju prije nego opažanje nazovete curenjem, jer klijent koji blokira v6 dok operacijski sustav još šalje otkrivanje susjeda na fizičkoj vezi ponaša se kako je projektiran.

Aplikacija namjerno izuzeta iz tunela drugi je slučaj od obitelji koju tunel nikada nije nosio. Prvo je odluka o jednom programu, drugo je praznina u pokrivenosti, a popravak se razlikuje u skladu s tim. Pročitajte klijentov popis izuzetih programa prije nego što tražite rutu koja nikada nije trebala postojati.

Usko promatranje, kada se tablica protivi

Kada je pretraga rute dvosmislena, jedno promatranje sučelja na hostu može to riješiti, ali samo ako je usmjereno na pitanje. Promet prema samoj krajnjoj točki VPN-a prijeći će fizički adapter po dizajnu; važno je pojavljuje li se ondje i aplikacijski tok, adresiran posve drugdje. Filtrirajte snimku na odredište koje testirate umjesto da skupljate sve.

Široka snimka izlaže mnogo više osobnog prometa nego što jedno pitanje traži. Odgovara i manje jasno, jer tok koji vas zanima stiže zakopan u struji nepovezanih veza. Filtrirajte na testirano odredište, zaustavite se nakon pregršt paketa i izbrišite snimku.

Tri načina da zatvorite prazninu

Provedite obitelj kroz tunel, blokirajte je u klijentu kad je tunel ne može nositi, ili zabilježite namjernu iznimku s vlasnikom i datumom pregleda. Svaki je obranjiv, a jedino što nije obranjivo jest ostaviti izbor implicitnim, jer implicitan izbor upravo je ono što curenje jest. Ako tunel uopće nema v6 izlaz, odbijanje v6 u klijentu i pošteno je i provjerljivo. Važno je da izbor bude zapisan tamo gdje će ga sljedeća osoba naći, a ne zaključen iz ponašanja šest mjeseci kasnije.

Ponovite provjeru nakon ponovnog spajanja i nakon prelaska između mreža, jer ruta ugrađena za prethodnu vezu može nadživjeti promjenu. Zatim zapišite odredište, odabranu rutu, klijentovu politiku i obitelj koju je test koristio, da sljedeća osoba čita odluku umjesto da je ponovno izvodi. RFC 7359 dokumentira curenje dvostrukog složaja kao problem dizajna, a ne kao grešku, i to je referenca koju citirati kad netko tvrdi da ispravan v4 tunel pokriva sve.