Globalni naslov IPv6 ne pomeni, da promet obide tunel

Preizkusna stran poroča o globalnem naslovu IPv6 in sklep takoj skoči na promet, ki obide VPN. Ta sklep potrebuje dve dejstvi, ki jih stran ni nikoli pokazala: katera aplikacija je poslala zahtevo in katero pot je zanjo izbralo jedro. Obseg naslova opisuje, kako daleč je mogoče usmerjati naslov. O tem, kam je šel prav ta paket, ne pove ničesar.

Obseg in vloga sta različni vprašanji z različnimi dokazi.

Obseg odgovarja, kdo ga lahko usmerja, ne kdo to počne

Globalni naslovi unicast so načeloma usmerljivi v javnem internetu, edinstveni lokalni naslovi so namenjeni notranji topologiji, povezavni lokalni naslovi pa obstajajo le na eni povezavi. To so lastnosti bloka naslovov. Ali paket do določenega cilja zapusti tunel, odločata usmerjevalna tabela in politika, vezana na vmesnik, in obe lahko kažeta v katero koli smer.

Naslov ima lahko globalni obseg in se vseeno prenaša znotraj tunela, ker je tunel pot in ne načrt naslovov.

Preberite vse naslove na vmesniku, ne spletnega preizkusa

Izhod vmesnika prikaže več naslovov hkrati: zunanji naslov na fizični povezavi, naslov tunela in povezavni lokalni naslov za vsak vmesnik. Spletni preizkus prikaže le izvorni naslov ene zahteve. Začnite z ip -6 addr show in zabeležite, kateremu vmesniku pripada posamezni naslov in kakšno dolžino predpone nosi, nato vprašajte, kateri vmesnik je zahteva dejansko uporabila.

Primerjajte to z ip -6 route get 2606:4700::1111, ki izpiše vmesnik in vir, ki bi ju jedro izbralo za cilj.

Kako globalna predpona konča znotraj tunela

Dve zasnovi ustvarita globalni naslov na vmesniku tunela. Ponudnik lahko delegira predpono, ki se usmerja odjemalcu skozi tunel, kar naredi naslov globalen, medtem ko pot ostaja tunel. Ali pa odjemalec obdrži svoj izvorni globalni naslov in tunel ga prenaša kot notranji promet, medtem ko zunanja glava opravlja delo. Nobena zasnova ne zahteva prevajanja, zmeda pa se začne tam, kjer navade IPv4 NAT veljajo za zahtevo IPv6.

Vprašajte skrbnika, katera od obeh velja. Odgovor določa, kaj strežnik na drugi strani vidi kot vaš vir.

Zakaj naslov, ki izgleda zasebno, ni signal zaupanja

Edinstven lokalni naslov pove, da ga operater namenja notranjemu usmerjanju, in nič več. Ne dokazuje, da je naprava upravljana, programska oprema zaupanja vredna ali promet šifriran. Nasprotno, globalni naslov ne dokazuje, da je promet ušel iz tunela, in prav ta predpostavka je razlog za obstoj celega članka.

Zaupanje presojajte po politiki, overjanju in šifriranju. Videz naslova je šibka hevristika, ki zataji v obe smeri.

Preizkusite pot in politiko kot dve vprašanji

Najprej pot: zaženite curl -6 https://ifconfig.me skozi tunel in nato še skozi fizični vmesnik ter primerjajte odgovore. Nato politika: potrdite, katero predpono tunel dejansko prenaša in ali ima druga stran povratno pot zanjo. Uspešna zahteva na javno spletno mesto ne dokazuje ne enega ne drugega, ker je ta cilj dosegljiv od vsepovsod. Za preizkus politike uporabite notranji cilj.

Zabeležite izvorni naslov, ki ga je ustvarila vsaka pot. To je dokaz, ki ga trditev o obhajanju zares potrebuje.