Bär din VPN IPv6, eller når den bara servern?

Ett läckagetest bara för IPv4 kommer tillbaka rent, ett IPv6-test visar din hemadress, och tunneln är nominellt ansluten. Den kombinationen är vanlig på dual-stack-nätverk, eftersom VPN:en ändrade den ena familjens väg och lät den andra vara. Den yttre tunneln och trafiken inuti den är två separata adresseringsbeslut. Att testa den ena säger ingenting om den andra.

Kontrollera både vad klienten rapporterar och vilken familj begäran faktiskt använde, eftersom ett värdnamn kan returnera båda typerna av svar.

Två familjer, två olika vägar

Operativsystemet håller en routingtabell per adressfamilj. Att installera en standardväg för IPv4 installerar ingen för IPv6, och en tunneländpunkt som nås över IPv4 säger ingenting om huruvida IPv6-trafik kommer in i den. När det inte finns någon IPv6-standardväg genom tunneln använder värden den IPv6-väg den har, och det är ofta den fysiska länken. Från applikationens synvinkel är anslutningen helt enkelt direkt.

Ett värdnamn som returnerar både A- och AAAA-poster gör detta svårare att se, eftersom applikationer kan prova familjerna i olika ordning. En begäran som lyckas bevisar inte vilken väg den tog. Använd ett test som namnger den familj det prövade.

Att nå servern är inte att bära trafiken

Leverantörer använder uttrycket IPv6-stöd för flera olika förmågor. Ändpunkten kan acceptera en anslutning över IPv6 medan tunneln fortfarande bara bär IPv4. Tunneln kan bära inre IPv6-paket medan den yttre transporten förblir IPv4. Eller så kan klienten blockera IPv6 helt så att inget slipper ut utanför tunneln. Det är tre olika beteenden, och en sida som bara säger att IPv6 stöds skiljer dem inte åt.

Fråga vilken av dem designen behöver. Ett nätverk som måste nå tjänster som bara finns på IPv6 behöver bära. Ett nätverk som måste förhindra direkt IPv6-trafik behöver blockering eller full bäring, inte en etikett på en marknadsföringssida.

Välj mellan att bära och att blockera

Att bära betyder att tunneln har en IPv6-adress, en standardväg inuti den och en policy som tillåter trafiken i båda ändar. Att blockera betyder att klienten medvetet stoppar IPv6 från att lämna tunneln, vilket är säkert och oanvändbart för att nå IPv6-destinationer. Båda är legitima; ingen av dem är en standard du kan anta. Välj kravet först och kontrollera sedan att klienten faktiskt implementerar det.

Ett gästnätverk med bara IPv4 kan inte pröva en IPv6-väg, så ett test som görs där säger ingenting om hemnätverket där båda familjerna finns. Testa där den relevanta familjen faktiskt erbjuds.

Kill switch behöver samma täckning

En kill switch som bara täcker IPv4 låter den andra familjen gå direkt ut, och det är precis den läcka den skulle förhindra. Granska dess regler för båda familjerna och för övergångsmomenten, medan tunneln går upp eller ner. Att stänga av IPv6 systembrett är ingen ersättning: det kan bryta orelaterade tjänster och döljer ett klientpolicyproblem bakom en maskinbred ändring.

Håll DNS åtskilt från allt detta. DNS handlar om vem som svarar på frågan och hur frågan reser; applikationsanslutningen som följer har sin egen väg. Den ena kan vara korrekt medan den andra inte är det, och att diagnostisera dem tillsammans ger förvirrade slutsatser.

Notera vilken familj varje test prövade och vilken förmåga klienten hävdar. Det paret fakta besvarar frågan som en supportetikett aldrig kommer att besvara.