Globálna adresa IPv6 neznamená, že prevádzka obchádza tunel

Testovacia stránka hlási globálnu adresu IPv6 a záver hneď skočí na prevádzku, ktorá obchádza VPN. Takýto záver potrebuje dve skutočnosti, ktoré stránka nikdy neukázala: ktorá aplikácia požiadavku odoslala a ktorú trasu pre ňu jadro zvolilo. Rozsah adresy opisuje, kam až sa dá adresa smerovať. O tom, kam išiel práve tento paket, nehovorí nič.

Rozsah a rola sú rôzne otázky s rôznymi dôkazmi.

Rozsah odpovedá, kto ju môže smerovať, nie kto to robí

Globálne adresy unicast sú v zásade smerovateľné vo verejnom internete, jedinečné lokálne adresy sú určené pre vnútornú topológiu a lokálne adresy prepojenia existujú len na jednom prepojení. To sú vlastnosti bloku adries. Či paket k danému cieľu odchádza cez tunel, rozhoduje smerovacia tabuľka a politika pripojená k rozhraniu, a obe môžu ukazovať ktorýmkoľvek smerom.

Adresa môže mať globálny rozsah a napriek tomu byť prenášaná vnútri tunela, pretože tunel je cesta, nie plán adries.

Čítajte všetky adresy na rozhraní, nie webový test

Výstup rozhrania ukazuje niekoľko adries naraz: vonkajšiu adresu na fyzickom prepojení, adresu tunela a lokálnu adresu prepojenia pre každé rozhranie. Webový test ukazuje len zdrojovú adresu jednej požiadavky. Začnite s ip -6 addr show a poznamenajte, ktorému rozhraniu patrí každá adresa a akú dĺžku prefixu nesie, a potom sa spýtajte, ktoré rozhranie požiadavka skutočne použila.

Porovnajte to s ip -6 route get 2606:4700::1111, ktorý vypíše rozhranie a zdroj, ktoré by jadro pre cieľ zvolilo.

Ako sa globálny prefix ocitne vnútri tunela

Dva návrhy dávajú globálnu adresu na rozhraní tunela. Poskytovateľ môže delegovať prefix smerovaný klientovi cez tunel, čo robí adresu globálnou, zatiaľ čo cesta zostáva tunelom. Alebo si klient ponechá svoju natívnu globálnu adresu a tunel ju nesie ako vnútornú prevádzku, zatiaľ čo vonkajšia hlavička robí prácu. Ani jeden návrh nevyžaduje preklad a zmätok začína tam, kde sa návyky IPv4 NAT berú ako požiadavka IPv6.

Spýtajte sa správcu, ktorý z oboch platí. Odpoveď určuje, čo server na druhej strane vidí ako váš zdroj.

Prečo adresa, ktorá vyzerá súkromne, nie je signálom dôvery

Jedinečná lokálna adresa hovorí, že ju prevádzkovateľ zamýšľa pre vnútorné smerovanie, a nič viac. Nedokazuje, že zariadenie je spravované, softvér dôveryhodný alebo prevádzka šifrovaná. Naopak, globálna adresa nedokazuje, že prevádzka unikla z tunela, a práve tento predpoklad celý článok búra.

Súďte dôveru podľa politiky, overovania a šifrovania. Vzhľad adresy je slabá heuristika, ktorá zlyháva v oboch smeroch.

Testujte trasu a politiku ako dve otázky

Najprv trasa: spustite curl -6 https://ifconfig.me cez tunel a znova cez fyzické rozhranie a porovnajte odpovede. Potom politika: overte, ktorý prefix tunel skutočne nesie a či má druhá strana preň spätnú trasu. Úspešná požiadavka na verejnú stránku nedokazuje ani jedno, pretože ten cieľ je dostupný odvšadiaľ. Na test politiky použite vnútorný cieľ.

Zaznamenajte zdrojovú adresu, ktorú vytvorila každá cesta. To je dôkaz, ktorý tvrdenie o obchádzaní skutočne potrebuje.