IPv6 саобраћај поред VPN-а: пронађи руту која цури

Две тест странице се не слажу: једна пријављује адресу провајдера кроз тунел, друга пријављује твој кућни префикс, а очигледан закључак је да VPN цури. Тај закључак прескаче један корак, јер су два извештаја покренула две различите одлуке о рутирању и само је једна од њих требало да уђе у тунел. Празнина је обично стварна, и то је проблем покривености, а не покварен тунел. Три питања то решавају: који ток је заиста изашао, коју је руту кернел изабрао за њега и какво понашање је клијент намеравао.

Ради тим редом. Одговарање ван реда ствара дугу расправу о томе да ли је клијент неисправан, док је прави одговор да IPv6 рута никада није инсталирана.

Који ток је заиста изашао и на ком адаптеру

Почни тестом који именује коришћену фамилију, затим запиши апликацију, приступну мрежу, профил на снази и да ли веза уопште нуди IPv6. Те четири чињенице чине два покретања упоредивим, а четврту људи заборављају: мрежа без v6 префикса не може да цури v6, а мрежа која га касније додаје мења одговор.

Пошаљи један захтев по фамилији уместо да учиташ страницу и прочиташ њен резултат. Једна страница може да меша v6 и v4 ресурсе, позадински процес може да се понаша другачије од картице пред тобом, а одговор из кеша може да надживи промену мреже коју покушаваш да тестираш. Фиксирај одредиште које тестираш и запиши га, да поновљено покретање мери исту ствар.

Читање руте коју је кернел изабрао

Табела рута одговара на питање на које прегледач не може. Питај систем куда би ишло одређено одредиште и укључи и правила политике и видљиви подразумевани пут, јер оба могу то да надјачају:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Конкретнији префикс је уобичајен разлог зашто једно одредиште остаје изван тунела док све остало остаје унутра, а правило политике може да учини исто са вишим приоритетом од било које руте. Прочитај и метрику, јер се два уноса за исти префикс решавају по метрици, а не по њиховом редоследу на екрану. На Windows-у еквивалентна листа је Get-NetRoute -AddressFamily IPv6, поређана по метрици да одговара редоследу одлуке. Правило које у табели изгледа исправно ипак може да изгуби од правила политике са нижим бројем, зато листа правила иде у истом даху са листом рута.

Одакле долази IPv6 политика клијента

Клијент може бити изграђен тако да проведе v6 кроз тунел, да га одбије или да дозволи именовани изузетак, и те три намере дају три различита исправна резултата. Прочитај профил и документацију самог клијента пре него што опажање назовеш цурењем, јер клијент који блокира v6 док оперативни систем још шаље откривање суседа на физичкој вези понаша се како је пројектован.

Апликација намерно изузета из тунела је други случај од фамилије коју тунел никада није носио. Прво је одлука о једном програму, друго је празнина у покривености, а поправка се разликује у складу с тим. Прочитај листу изузетих програма клијента пре него што потражиш руту која никада није требало да постоји.

Уско посматрање, када се табела противи

Када је претрага руте двосмислена, једно посматрање интерфејса на хосту може то да реши, али само ако је усмерено на питање. Саобраћај ка самој крајњој тачки VPN-а прећи ће физички адаптер по дизајну; важно је да ли се тамо појављује и ток апликације, адресиран сасвим другде. Филтрирај снимак на одредиште које тестираш уместо да сакупљаш све.

Широк снимак открива много више личног саобраћаја него што то једно питање захтева. Такође одговара мање јасно, јер ток који те занима стиже закопан у струји неповезаних веза. Филтрирај на тестирано одредиште, заустави се после неколико пакета и избриши снимак.

Три начина да се затвори празнина

Проведи фамилију кроз тунел, блокирај је у клијенту када тунел не може да је носи, или забележи намерни изузетак са власником и датумом прегледа. Сваки је одбрањив, а једино што није одбрањиво јесте оставити избор имплицитним, јер имплицитан избор је управо оно што цурење јесте. Ако тунел уопште нема v6 излаз, одбијање v6 у клијенту је и поштено и проверљиво. Важно је да избор буде записан тамо где ће га следећа особа наћи, а не закључен из понашања после шест месеци.

Понови проверу после поновног повезивања и после преласка између мрежа, јер рута инсталирана за претходну везу може да надживи промену. Затим запиши одредиште, изабрану руту, политику клијента и фамилију коју је тест користио, да следећа особа чита одлуку уместо да је поново изводи. RFC 7359 документује цурење двоструког стека као пројектни проблем, а не као грешку, и то је референца коју цитирати када неко тврди да исправан v4 тунел покрива све.