Xannibaadda kaliya IPv4: sababta IPv6 wali u baxo

Tunnel-ku waa dhacaa, kantaroolka xannibaaddu wuxuu sheegaa inuu shaqeeyay, iyo soo dejintu sii socotaa. Waxba kama jaban xeerarka IPv4. App-ku wuxuu u guuray waddo aan xeerarkaas waligood loo qorin.

Qalabka laba-stack ah waxay leeyihiin laba waddo oo madax-bannaan oo baxa. Mid ka mid ah xannibaaddu waa nus xannibaad.

Laba qaybood oo xeerar ah, laba caadi

Linux, iptables iyo ip6tables waa shaxanno kala duwan oo leh siyaasado kala duwan. In silsiladaha INPUT iyo OUTPUT ee shaxanka IPv4 lagu dhigay DROP waxba kama beddelo shaxanka IPv6, halkaas oo caadigu inta badan yahay ACCEPT. Kala qaybsanaan la mid ah ayaa ku jirta nftables, halkaas oo aad ka eegi karto hal qoys oo aad ogaato in midkood oo kaliya uu qaado xeerarkaaga. Isku mid-la'aantaas waa caadi, iyo dhammaan dhibaatadu waa taas.

Sidaas darteed kantaroolka xannibaaddu wuxuu u ekaan karaa mid dhammaystiran oo u dhaqmi karaa qayb ahaan. Skriptigii qoray xeerarka IPv4 wuu socday, tiriyayaashu way kordhayaan, khadka log-ga ayaa soo baxa, iyo baakad IPv6 ah ayaa ka baxda interface-ka jirka iyada oo aan la taaban.

Akhri waxa macmiilkaagu dhab ahaan rakibo, ma aha waxa bogga suuqgeynta ballan qaado. Macaamiisha qaar waxay IPv6 u jiheeyaan tunnel-ka, qaar si ula kac ah ayay u xannibaan, qaarna way u daayaan iyada oo xannibaadda heerka madal ay dhaqangelinayso xeer kale. Halkan dokumentiga iibiyaha ayaa ah isha kaliya ee lagu kalsoonaan karo.

Waxa ay kaaga sheegto qaabaynta interface-ka

Bogga buugga ee wg-quick wuxuu ku darayaa xeerarka IPv6 qaabaynta tusaalaha, sababtuna waa farqigan. Tusaaluhu ma aha qurxin. Wuxuu u jiraa sababtoo ah xeerarka IPv4 oo kaliya waxay ka tagi lahaayeen qoyska labaad furan.

Koobbi nus tusaale ah waxay soo saartaa nus siyaasad ah. Tan waa isha ugu caansan ee daadintan. Hal post blog ah ayaa tusaalaha u soo gaabiyay dhererka awgiis. Markaasaa nooca la gaabiyay noqday qaabka ay dhammaan dib u isticmaaleen.

# what is actually installed, per family?
sudo iptables -S OUTPUT | head -20
sudo ip6tables -S OUTPUT | head -20

# nftables: inspect each family separately
sudo nft list ruleset inet | head -40

# does this host even have a usable IPv6 path?
ip -6 route show default

Haddii amarka labaad uu daabaco siyaasad oggolaanaysa halka kan koowaad uu daabaco DROP, waad heshay jawaabta adigoon taaban macmiilka. Isku mid-la'aantaas waa cilladda.

Sababta hal raadin aanay ahayn sheekada oo dhan

Hal magac ayaa soo celin kara diiwaanka A iyo diiwaanka AAAA labadaba, iyo apps-ku dhammaantood isku si ma doortaan. Browser-ku wuxuu doorbidin karaa IPv6 marka shabakaddu bixiso oo uu dib ugu noqdo guuldarraysta, halka sync-ka dambe ama cusboonaysiintu isticmaalo xalliyaha iyo doorbidkiisa. Sidaas darteed hal tijaabo oo guulaystay oo IPv4 ah waxay caddaynaysaa hal waddo, ma aha siyaasadda.

Isku-beddelka shabakaddu sidoo kale wuxuu beddelaa jawaabta. Ku biirista shabakad Wi-Fi kale, ka soo kicidda hurdada ama u gudubka gacanta ayaa qalabka siin kara horgale IPv6 cusub, iyo siyaasadda u muuqatay mid ku filan LAN-ka xafiiska waxaa laga yaabaa in aanay daboolin.

Tijaabi xaaladda uu tunnel-ku dami yahay

Tijaabinta inta aad xidhan tahay waxay kuu sheegtaa in tunnel-ku shaqeeyo. Tijaabada xiisaha leh waa xaaladda aan la heli karin, sababtoo ah waa markaas kantaroolka xannibaaddu ay tahay inuu adkaysto. Si ula kac ah u jooji tunnel-ka, ka dibna isku day meelaha muhiimka ah ee app-ka aad ilaalinayso.

# with the tunnel stopped, does anything still leave?
ip -6 route get 2606:4700:4700::1111
curl -6 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv6.example.net/
curl -4 -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://ipv4.example.net/

Labada qoys waa inay ku guuldarraystaan si xiran. Haddii codsiga IPv4 uu waqtigiisa dhammaado oo codsiga IPv6 uu soo celiyo kood xaaladeed, siyaasaddu waa mid aan dhamaystirnayn, iyo inta jeer ee tunnel-ka dib loo tijaabiyo waxba ma beddelayso.

Ku hay tijaabadaas sidoo kale ka-reebista la diiwaangeliyay. Ogaanshaha shabakadda maxalliga ah, cusboonaysiinta DHCP ama waddada bilowga ee dhanka VPN waxaa laga yaabaa inay u baahan yihiin inay sii ahaadaan kuwo la gaari karo, iyo ka-reebistaas waa in lagu magacaabo siyaasadda halkii laga ogaan lahaa inta lagu jiro hakad. Tijaabada daadinta ee ku guuldarraysta sababtoo ah tunnel-ku dib uma soo kici karo ma aha natiijo amni, waa natiijo xiriir.