Prečo sa vaša adresa IPv6 mení, keď VPN zostáva zapnutá

Dva snímky obrazovky urobené hodinu po sebe ukazujú rôzne zdrojové adresy IPv6 a najprirodzenejšie čítanie je, že tunel prepustil alebo sa znova pripojil. Zvyčajne sa nestalo ani jedno. Hostiteľ používa dočasné adresy, funkciu súkromia operačného systému, ktorá otáča identifikátor rozhrania podľa časovača. Porovnanie sa zdalo presvedčivé len preto, že predpokladalo pole, ktoré nikdy nebolo stabilné.

Čo dočasná adresa vlastne otáča

Dočasná adresa sa skladá z prefixu rozhrania a identifikátora, ktorý hostiteľ mení, a nesie preferovanú a platnú životnosť. Skôr než platná životnosť vyprší, hostiteľ vytvorí náhradu, takže dve spojenia môžu legitímne vychádzať z rôznych zdrojov. Adresa lokálneho spojenia a samotný prefix zostávajú na mieste, a tak sieť stroj stále rozpoznáva.

Nič v tomto otáčaní nerobí účet, cookie ani vzorec prehliadania anonymnými. Stránka, ktorá vás chce rozpoznať, má cookies, prihlásenia a odtlačky, a meniaca sa zdrojová adresa sa proti nim takmer neprejaví. Otáčanie mení jedno pole v hlavičke paketu a toto pole nebolo nikdy jediným identifikátorom na ceste.

Webová stránka vidí jednu adresu, hostiteľ ich drží niekoľko

Server zaznamená zdroj požiadavky, ktorú prijal, nič viac. Hostiteľ môže držať niekoľko adries s rôznymi rozsahmi a životnosťami a to, ktorá vyhrá, závisí od pravidiel výberu adries a od cieľa. Čítanie hodnoty z webu ako adresy stroja je miesto, kde sa táto zámena začína. Jeden hostiteľ môže pre dva weby vyzerať ako dva stroje v tom istom okamihu, jednoducho preto, že každé spojenie si zvolilo inú adresu.

Počas testu sa pozrite na rozhranie pomocou ip -6 addr show dev eth0: niekoľko adries s ich životnosťami znamená, že otáčanie je prítomné podľa návrhu. Potom sa jadra spýtajte, ktorú trasu by použilo pomocou ip -6 route get 2001:db8:10::5, čo vypíše zariadenie a preferovaný zdroj pre daný cieľ.

Porovnávajte prefix, rozhranie a trasu, nie reťazec

Pri testovaní VPN je otázkou, či paket odišiel tunelom, a to je otázka smerovania a politiky. Zdrojová adresa je na to slabý ukazovateľ: adresa, ktorá sa otáča na rozhraní tunela, je stále na tuneli. Tunel, ktorý sa znova pripája, zvyčajne posúva prefix alebo zariadenie, a tie zmeny vidno bez čítania celej adresy.

Preto porovnávajte zvolenú trasu, rozhranie, ktorým paket odišiel, a prefix, ktorý niesol. Tieto tri zostávajú medzi behmi dosť stabilné a každý z nich znamená niečo iné, keď sa zmení.

Zmena je dôležitá, keď sa zmení prefix, keď sa zmení rozhranie alebo keď trasa k cieľu prestane tunel používať. Zmena iba v identifikátore rozhrania, s tým istým prefixom a tým istým zariadením, je správanie súkromia, ktoré funguje podľa zámeru. Ak sa posunul len identifikátor, test meral časovač súkromia a nie pokrytie. Zapíšte, ktoré z tých troch sa posunulo, skôr než obviníte tunel.

Nevypínajte IPv6, aby snímky súhlasili

Vypnutie IPv6 zrovná opakované testy, a tiež odoberie celú jednu rodinu adries zo siete, ktorú má váš tunel pokrývať. Keď je politikou IPv6 prenášať, vypnutie medzeru v pokrytí skrýva, namiesto toho aby ju zavrelo.

Ak je politikou IPv6 blokovať, kým nebude podporované, blokujte ho vedome a rozhodnutie zapíšte. Ďalší správca musí vidieť rozdiel medzi zdokumentovaným blokom a vypnutým zásobníkom.

Čo zaznamenať a čo jeden test môže dokázať

Zaznamenajte prefix, názov rozhrania, zvolenú trasu, cieľ a časovú pečiatku a vedľa nich celú adresu. Špecifikácia dočasných adries vysvetľuje životnosti, ktoré poháňajú otáčanie, a preto je celá adresa najmenej stabilné pole v poznámke. Zhoda dvoch z troch stabilných polí medzi behmi je silnejší dôkaz než akákoľvek jednotlivá zhoda adresy.

Jeden test je jedno pozorovanie jednej požiadavky. Poznámka je to, čo z ďalšieho pozorovania robí porovnanie. Uchovajte oboje a ďalší nesúlad bude stáť jeden pohľad namiesto celého popoludnia.