Promet IPv6 mimo VPN: najti pot, ki uhaja

Dve testni strani se ne strinjata: ena poroča naslov ponudnika skozi tunel, druga poroča vašo domačo predpono, in očiten sklep je, da VPN uhaja. Ta sklep preskoči en korak, ker sta obe poročili izvedli dve različni odločitvi usmerjanja in samo ena od njiju bi morala vstopiti v tunel. Vrzel je običajno resnična in je problem pokritosti, ne pokvarjen tunel. Tri vprašanja jo razrešijo: kateri tok je resnično odšel, katero pot je zanj izbralo jedro in kakšno vedenje je nameraval odjemalec.

Delajte v tem vrstnem redu. Odgovarjanje v drugem vrstnem redu privede do dolge razprave o tem, ali je odjemalec pokvarjen, medtem ko je pravi odgovor, da pot IPv6 ni bila nikoli nameščena.

Kateri tok je resnično odšel in skozi kateri vmesnik

Začnite s preizkusom, ki poimenuje uporabljeno družino, nato zapišite aplikacijo, dostopno omrežje, veljavni profil in ali povezava sploh ponuja IPv6. Ta štiri dejstva naredijo dva zagona primerljiva, četrtega pa ljudje pozabijo: omrežje brez predpone v6 ne more puščati v6, omrežje, ki jo doda pozneje, pa spremeni odgovor.

Pošljite eno zahtevo na družino, namesto da naložite stran in preberete njen rezultat. Ena stran lahko meša vire v6 in v4, proces v ozadju se lahko obnaša drugače kot zavihek pred vami in odgovor iz predpomnilnika lahko preživi spremembo omrežja, ki jo poskušate preveriti. Določite preizkušani cilj in ga zapišite, da bo ponovljen zagon meril isto.

Branje poti, ki jo je izbralo jedro

Usmerjevalna tabela odgovori na vprašanje, na katero brskalnik ne more. Vprašajte sistem, kam bi šel določen cilj, in vključite tako pravila politike kot vidno privzeto pot, ker lahko oboje to preglasi:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Natančnejša predpona je običajen razlog, da en cilj ostane zunaj tunela, medtem ko vse drugo ostane znotraj, in pravilo politike lahko stori isto z višjo prioriteto kot katera koli pot. Preberite tudi metriko, ker se dva vnosa za isto predpono razrešita po metriki in ne po njunem vrstnem redu na zaslonu. V sistemu Windows je enakovreden seznam Get-NetRoute -AddressFamily IPv6, razvrščen po metriki, da ustreza vrstnemu redu odločitve. Pravilo, ki je v tabeli videti pravilno, lahko vseeno izgubi proti pravilu politike z nižjo številko, zato seznam pravil sodi v isti dih kot seznam poti.

Od kod prihaja politika IPv6 odjemalca

Odjemalec je lahko zgrajen tako, da vodi v6 skozi tunel, da ga zavrača ali da dovoli imenovano izjemo, in ti trije nameni dajo tri različne pravilne rezultate. Preberite profil in dokumentacijo samega odjemalca, preden opažanje imenujete uhajanje, ker se odjemalec, ki blokira v6, medtem ko operacijski sistem še vedno pošilja odkrivanje sosedov po fizični povezavi, obnaša, kot je zasnovan.

Aplikacija, namerno izključena iz tunela, je drug primer kot družina, ki je tunel nikoli ni prenašal. Prvo je odločitev o enem programu, drugo je vrzel v pokritosti, popravilo pa se ustrezno razlikuje. Preberite seznam izključenih programov odjemalca, preden iščete pot, ki ne bi smela nikoli obstajati.

Ozko opazovanje, ko se tabela ne strinja

Ko je iskanje poti dvoumno, ga lahko eno opazovanje vmesnika na gostitelju razreši, a le če je usmerjeno v vprašanje. Promet do same končne točke VPN bo po zasnovi prečkal fizični vmesnik; pomembno je, ali se tam pojavi tudi tok aplikacije, naslovljen povsem drugam. Filtrirajte zajem na preizkušani cilj, namesto da zbirate vse.

Širok zajem razkrije veliko več osebnega prometa, kot ga zahteva eno vprašanje. Tudi odgovori manj jasno, ker tok, ki vas zanima, prispe zakopan v toku nepovezanih povezav. Filtrirajte na preizkušeni cilj, ustavite po nekaj paketih in zajem izbrišite.

Trije načini, kako zapreti vrzel

Peljite družino skozi tunel, blokirajte jo v odjemalcu, ko je tunel ne more prenašati, ali zabeležite namerno izjemo z lastnikom in datumom pregleda. Vsaka je zagovorljiva, in edino nezagovorljivo je pustiti izbiro implicitno, ker je implicitna izbira natanko to, kar uhajanje je. Če tunel sploh nima izhoda v6, je zavrnitev v6 v odjemalcu hkrati poštena in preverljiva. Pomembno je, da je izbira zapisana tam, kjer jo bo našel naslednji človek, in ne izpeljana iz vedenja pol leta pozneje.

Ponovite preverjanje po ponovni povezavi in po premiku med omrežji, ker lahko pot, nameščena za prejšnjo povezavo, preživi spremembo. Nato zapišite cilj, izbrano pot, politiko odjemalca in družino, ki jo je uporabil preizkus, da bo naslednji človek prebral odločitev, namesto da bi jo znova izpeljal. RFC 7359 dokumentira uhajanje dvojnega sklada kot načrtovalski problem in ne kot napako, in to je referenca, ki jo citiramo, ko kdo trdi, da delujoč tunel v4 pokriva vse.