Kako preizkusiti IPv6 prek VPN z lastnim virom

Javna stran za preverjanje IP odgovarja na eno vprašanje in običajno ne na tisto, ki ste ga postavili. Pove vam izhodni naslov, ki ga je stran videla; ne pove, ali pot IPv6 skozi tunel deluje, ali je gostitelj dal prednost IPv6 ali se je umaknil, niti ali je izključena aplikacija ubrala drugo pot. Pooblaščeni vir, ki ga nadzorujete, pravilno odgovori na ožje vprašanje, ker vidite oba konca. Spodnje navodilo govori o tem, kako priti do zagovorljivega sklepa, ne o zelenem rezultatu.

Korak 1: povejte, katero pot IPv6 preizkušate

Povejte to v enem stavku. Zahteva na lastni naslov IPv6 strežnika tunela preizkusi tunel; zahteva na gostitelja za izhodom preizkusi izhod IPv6 izhoda; zahteva na zasebni naslov IPv6 preizkusi notranjo pot.

To so tri različne trditve in ena uspešna zahteva ne more podpreti vseh. Izberite tisto, ki je pomembna za odločitev pred vami, in jo zapišite, preden kar koli zaženete. Če je skrb, ali IPv6 uhaja okoli tunela, vprašanje zadeva izbiro poti gostitelja, ne dosegljivosti izhoda. Če je skrb, ali oddaljena stran lahko doseže notranjo storitev, je izhod nepomemben.

Korak 2: potrdite, da gostitelj izbere to pot

ip -6 route get 2001:db8:1::10 izpiše pot, izvorni naslov in vmesnik, ki bi ga jedro uporabilo, in od tega dejstva je odvisen preostanek testa.

Obstoj vmesnika ni isto kot njegova izbira. Gostitelji z dvojnim skladom imajo tabelo prednosti in /etc/gai.conf v Linuxu lahko spremeni, katera družina zmaga za ime, ki se razreši na obe.

Korak 3: uporabite legitimni cilj in legitimno ime

Če preizkušate HTTPS, uporabite ime gostitelja, za katero je bilo izdano potrdilo, in pustite preverjanje vklopljeno; prehod na dobesedni naslov, da bi test uspel, izklopi prav tisto preverjanje, ki dokazuje, da ste dosegli predvidenega gostitelja. Diagnostična storitev, ki jo nadzorujete in ki odgovarja na znanem imenu z veljavnim potrdilom, je najčistejši cilj. Ponuja tudi vrstico dnevnika na strani strežnika za primerjavo, česar preverjevalnik tretje strani nikoli ne bo dal.

Zaženite zahtevo v obliki, ki pokaže uporabljeni naslov: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Možnost -6 vsili družino, in tako ločite IPv6 ne deluje od IPv6 ni bilo prednostno.

Za čisto preverjanje dosegljivosti, kjer je ICMPv6 dovoljen, zadošča ping -6 -c 3 2001:db8:1::10. Dokaže pot in nič nad njo.

Korak 4: primerjajte oba konca

Ko imate dostop do obeh koncev, zaženite tcpdump -ni any ip6 and host 2001:db8:1::10 na odjemalcu in ustreznico na viru, s časovnimi žigi, in potrdite, da se isti tok pojavi na obeh. To spremeni verjeten izid v dokaz: samo pogled odjemalca ne more ločiti odgovora vira od odgovora nečesa vmes. Zajem naj bo ozek na en cilj, da izpis ostane berljiv in da se nikogaršnja nepovezana seja ne znajde v datoteki.

Ponovite test po ponovni povezavi, če je skrb, ali politika preživi ponovni zagon. Stanje poti in požarnega zidu, uporabljeno enkrat ob povezavi, se lahko razlikuje od stanja, ki se uporabi znova, in razlika se pokaže šele ob drugi povezavi.

Primer okvare preizkusite ločeno, če ga potrebujete. Tunel, ki blokira IPv6, ko pade, in tunel, ki ga spusti skozi, sta različni zasnovi, in le eno od njiju je mogoče potrditi z uspešno zahtevo.

Korak 5: zapišite, česa test ni dokazal

Peti korak je zapisati, česa test ni dokazal, in prav ta del se pogosto izpusti. Uspešen test zasebne končne točke ne dokazuje javnega izhoda IPv6, ne dokazuje vedenja DNS in ne pokriva aplikacij, ki ste jih izključili iz tunela. Vsako od tega potrebuje svoj cilj in svoje opazovanje. Zapis, da IPv6 deluje po eni zahtevi na enega gostitelja, ni ugotovitev; to je domneva s časovnim žigom.

Zapis, ki se ga splača obdržati, je kratek: cilj, ime, izvorni naslov, ki ga je izbral gostitelj, opaženi oddaljeni naslov in čas. RFC 7359 obravnava, kako preizkusiti, ali je ustrezna pot IPv6 res uporabna, in to je standard, ki se mu to navodilo približuje s preprostejšimi orodji. Če sklep za resničnost potrebuje javnega preverjevalnika, test ni bil dovolj konkreten.