Prevádzka IPv6 mimo VPN: nájsť unikajúcu trasu

Dve testovacie stránky sa nezhodujú: jedna uvádza adresu poskytovateľa cez tunel, druhá uvádza váš domáci prefix, a zjavný záver je, že VPN uniká. Ten záver preskakuje jeden krok, pretože obe správy vykonali dve rôzne rozhodnutia o smerovaní a do tunela sa mala dostať iba jedna z nich. Medzera je zvyčajne skutočná a je to problém pokrytia, nie pokazený tunel. Tri otázky to vyriešia: ktorý tok skutočne vyšiel, ktorú trasu preň jadro zvolilo a aké správanie klient zamýšľal.

Pracujte v tomto poradí. Odpovedať na ne v inom poradí vedie k dlhej debate o tom, či je klient chybný, hoci skutočná odpoveď je, že trasa IPv6 nebola nikdy nainštalovaná.

Ktorý tok skutočne vyšiel a cez ktorý adaptér

Začnite testom, ktorý pomenuje použitú rodinu, potom zapíšte aplikáciu, prístupovú sieť, platný profil a to, či spojenie vôbec ponúka IPv6. Tieto štyri fakty robia dva behy porovnateľnými a štvrtý ľudia zabúdajú: sieť bez prefixu v6 nemôže unikať v6 a sieť, ktorá ho pridá neskôr, zmení odpoveď.

Pošlite jednu požiadavku na rodinu namiesto načítania stránky a čítania jej výsledku. Jedna stránka môže miešať zdroje v6 a v4, proces na pozadí sa môže správať inak ako karta pred vami a odpoveď z vyrovnávacej pamäte môže prežiť zmenu siete, ktorú sa snažíte overiť. Zafixujte testovaný cieľ a zapíšte ho, aby opakovaný beh meral to isté.

Čítanie trasy, ktorú zvolilo jadro

Smerovacia tabuľka odpovedá na otázku, na ktorú prehliadač nedokáže. Opýtajte sa systému, kam by išiel konkrétny cieľ, a zahrňte tak pravidlá politiky, ako aj viditeľnú predvolenú trasu, pretože obe ju môžu prepísať:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Konkrétnejší prefix je zvyčajný dôvod, prečo jeden cieľ zostáva mimo tunela, kým všetko ostatné zostáva vnútri, a pravidlo politiky môže urobiť to isté s vyššou prioritou než akákoľvek trasa. Čítajte aj metriku, pretože dve položky pre ten istý prefix sa rozhodujú podľa metriky, nie podľa ich poradia na obrazovke. V systéme Windows je ekvivalentný zoznam Get-NetRoute -AddressFamily IPv6, zoradený podľa metriky, aby zodpovedal poradiu rozhodnutia. Pravidlo, ktoré v tabuľke vyzerá správne, môže napriek tomu prehrať s pravidlom politiky s nižším číslom, a preto zoznam pravidiel patrí k zoznamu trás v tom istom dychu.

Odkiaľ pochádza politika IPv6 klienta

Klient môže byť postavený tak, aby viedol v6 cez tunel, aby ho odmietal alebo aby povoľoval pomenovanú výnimku, a tieto tri zámery dávajú tri rôzne správne výsledky. Prečítajte si profil a dokumentáciu samotného klienta, kým označíte pozorovanie za únik, pretože klient, ktorý blokuje v6, kým operačný systém stále posiela objavovanie susedov po fyzickom prepojení, sa správa podľa návrhu.

Aplikácia zámerne vylúčená z tunela je iný prípad než rodina, ktorú tunel nikdy neprenášal. Prvé je rozhodnutie o jednom programe, druhé je medzera v pokrytí a oprava sa podľa toho líši. Prečítajte si zoznam vylúčených programov klienta, kým začnete hľadať trasu, ktorá nikdy nemala existovať.

Úzke pozorovanie, keď tabuľka nesúhlasí

Keď je vyhľadanie trasy nejednoznačné, jedno pozorovanie rozhrania na hostiteľovi to môže vyriešiť, ale iba ak je namierené na otázku. Prevádzka k samotnému koncovému bodu VPN prejde cez fyzický adaptér podľa návrhu; dôležité je, či sa tam objaví aj tok aplikácie adresovaný úplne inam. Filtrujte záznam na testovaný cieľ namiesto zbierania všetkého.

Široký záznam odhalí oveľa viac osobných údajov, než si jedna otázka vyžaduje. Odpovedá aj menej jasne, pretože tok, ktorý vás zaujíma, prichádza zakopaný v prúde nesúvisiacich spojení. Filtrujte na testovaný cieľ, zastavte po niekoľkých paketoch a záznam vymažte.

Tri spôsoby, ako medzeru zatvoriť

Veďte rodinu cez tunel, zablokujte ju v klientovi, keď ju tunel nedokáže preniesť, alebo zaznamenajte zámernú výnimku s vlastníkom a dátumom revízie. Každý je obhájiteľný a jediná neobhájiteľná vec je nechať voľbu implicitnú, pretože implicitná voľba je presne to, čím únik je. Ak tunel nemá vôbec výstup v6, odmietnutie v6 v klientovi je aj čestné, aj overiteľné. Dôležité je, aby bola voľba zapísaná tam, kde ju nájde ďalší človek, a nie odvodená zo správania o pol roka.

Zopakujte kontrolu po opätovnom pripojení a po presune medzi sieťami, pretože trasa nainštalovaná pre predchádzajúce prepojenie môže zmenu prežiť. Potom zapíšte cieľ, zvolenú trasu, politiku klienta a rodinu, ktorú test použil, aby ďalší človek čítal rozhodnutie namiesto toho, aby ho znova odvodzoval. RFC 7359 dokumentuje únik dvojitého zásobníka ako problém návrhu a nie ako chybu, a je to referencia, ktorú citujeme, keď niekto tvrdí, že funkčný tunel v4 pokrýva všetko.