Një adresë globale IPv6 nuk do të thotë se trafiku e anashkalon tunelin

Një faqe prove raporton një adresë globale IPv6 dhe përfundimi hidhet menjëherë te trafiku që anashkalon VPN-në. Ky përfundim kërkon dy fakte që faqja nuk i tregoi kurrë: cila aplikacion e dërgoi kërkesën dhe cilën rrugë zgjodhi kerneli për të. Shtrirja e adresës përshkruan deri ku mund të rutohet një adresë. Ajo nuk thotë asgjë për ku shkoi pikërisht ky paketë.

Shtrirja dhe roli janë pyetje të ndryshme me prova të ndryshme.

Shtrirja përgjigjet se kush mund ta rutojë, jo kush e bën

Adresat globale unicast në parim rutohen në internetin publik, adresat unike lokale janë të destinuara për topologji të brendshme dhe adresat lokale të lidhjes ekzistojnë vetëm në një lidhje. Këto janë veti të bllokut të adresave. Nëse një paketë drejt një destinacioni të caktuar del përmes tunelit, e vendosin tabela e rutimit dhe politika e lidhur me ndërfaqen, dhe të dyja mund të tregojnë në çdo drejtim.

Një adresë mund të ketë shtrirje globale dhe megjithatë të transportohet brenda një tuneli, sepse tuneli është një rrugë dhe jo një plan adresash.

Lexoni të gjitha adresat në ndërfaqe, jo provën e web-it

Dalja e ndërfaqes shfaq disa adresa njëherësh: adresën e jashtme në lidhjen fizike, adresën e tunelit dhe një adresë lokale lidhjeje për çdo ndërfaqe. Prova e web-it shfaq vetëm adresën burimore të një kërkese. Filloni me ip -6 addr show dhe shënoni cila adresë i përket cilit ndërfaqe dhe çfarë gjatësi prefiksi mban, pastaj pyesni cilin ndërfaqe përdori vërtet kërkesa.

Krahasojeni këtë me ip -6 route get 2606:4700::1111, i cili shtyp ndërfaqen dhe burimin që kerneli do të zgjidhte për një destinacion.

Si përfundon një prefiks global brenda një tuneli

Dy modele prodhojnë një adresë globale në një ndërfaqe tuneli. Ofruesi mund të delegojë një prefiks që rutohet te klienti përmes tunelit, gjë që e bën adresën globale ndërsa rruga mbetet tuneli. Ose klienti mban adresën e vet globale origjinale dhe tuneli e transporton si trafik të brendshëm ndërsa kreu i jashtëm bën punën. Asnjëri model nuk kërkon përkthim, dhe konfuzioni fillon aty ku zakonet e IPv4 NAT merren si kërkesë e IPv6.

Pyetni administratorin cili nga të dy zbatohet. Përgjigja përcakton çfarë sheh një server në anën tjetër si burimin tuaj.

Pse një adresë që duket private nuk është sinjal besimi

Një adresë unike lokale thotë se operatori e synon për rutim të brendshëm, dhe asgjë më shumë. Ajo nuk provon se pajisja menaxhohet, se softueri është i besueshëm ose se trafiku është i enkriptuar. Në të kundërt, një adresë globale nuk provon se trafiku i shpëtoi tunelit, dhe pikërisht ky supozim është arsyeja pse ekziston gjithë ky artikull.

Gjykoni besimin nga politika, vërtetimi dhe enkriptimi. Pamja e adresës është një heuristikë e dobët që dështon në të dy drejtimet.

Provoni rrugën dhe politikën si dy pyetje

Së pari rruga: ekzekutoni curl -6 https://ifconfig.me përmes tunelit dhe pastaj përmes ndërfaqes fizike, dhe krahasoni përgjigjet. Së dyti politika: konfirmoni cilin prefiks mban vërtet tuneli dhe nëse ana tjetër ka një rrugë kthimi për të. Një kërkesë e suksesshme drejt një faqeje publike nuk provon asnjërën, sepse ai destinacion arrihet nga kudo. Përdorni një destinacion të brendshëm për provën e politikës.

Shënoni adresën burimore që prodhoi secila rrugë. Kjo është prova që një pohim për anashkalim ka vërtet nevojë.