Глобална IPv6 адреса не значи да саобраћај заобилази тунел

Тест страница приказује глобалну IPv6 адресу и закључак одмах скаче на саобраћај који заобилази VPN. Тај закључак тражи две чињенице које страница никада није показала: која апликација је послала захтев и коју је руту кернел одабрао за њега. Опсег адресе описује докле се адреса сме рутирати. Он не говори ништа о томе куда је отишао баш овај пакет.

Опсег и улога су различита питања с различитим доказима.

Опсег одговара ко је може рутирати, а не ко је рутира

Глобалне unicast адресе су у принципу рутабилне на јавном интернету, јединствене локалне адресе намењене су интерној топологији, а локалне адресе везе постоје само на једној вези. То су својства блока адреса. Да ли пакет до датог одредишта излази кроз тунел, одлучују табела рутирања и политика везана за интерфејс, а обоје може показивати у било коју страну.

Адреса може бити глобалног опсега и ипак се преносити унутар тунела, јер је тунел пут, а не план адреса.

Читајте све адресе на интерфејсу, а не веб тест

Излаз интерфејса показује неколико адреса одједном: спољну адресу на физичкој вези, адресу тунела и локалну адресу везе за сваки интерфејс. Веб тест показује само изворну адресу једног захтева. Почните са ip -6 addr show и забележите који интерфејс поседује сваку адресу и коју дужину префикса носи, па питајте који је интерфејс захтев стварно користио.

Упоредите то са ip -6 route get 2606:4700::1111, који исписује интерфејс и извор које би кернел одабрао за одредиште.

Како глобални префикс заврши унутар тунела

Два дизајна дају глобалну адресу на интерфејсу тунела. Провајдер може делегирати префикс који се рутира клијенту кроз тунел, што адресу чини глобалном док је пут и даље тунел. Или клијент задржава своју изворну глобалну адресу и тунел је носи као унутрашњи саобраћај док спољно заглавље обавља посао. Ниједан дизајн не захтева превођење, а забуна почиње тамо где се навике IPv4 NAT-а узимају као захтев IPv6.

Питајте администратора који од два дизајна важи. Одговор одређује шта сервер на другој страни види као ваш извор.

Зашто адреса која изгледа приватно није сигнал поверења

Јединствена локална адреса каже да ју је оператер наменио интерном рутирању, и ништа више. Она не доказује да је уређај под управљањем, да је софтвер поуздан или да је саобраћај шифрован. Обрнуто, глобална адреса не доказује да је саобраћај побегао из тунела, а управо та претпоставка је разлог постојања овог чланка.

Процените поверење по политици, аутентикацији и шифровању. Изглед адресе је слаба хеуристика која пада у оба смера.

Тестирајте руту и политику као два питања

Прво, рута: покрените curl -6 https://ifconfig.me кроз тунел и поново преко физичког интерфејса, па упоредите одговоре. Друго, политика: потврдите који префикс тунел стварно носи и да ли друга страна има повратну руту за њега. Успешан захтев према јавном сајту не доказује ниједно, јер је то одредиште доступно са сваке стране. Користите интерно одредиште за тест политике.

Забележите изворну адресу коју је сваки пут произвео. То је доказ који тврдња о заобилажењу заиста треба.