Tuzime IPv6 ili kurekebisha uvujaji wa VPN? Badala yake amua sera

Anwani kutoka safu ya IPv6 inaonekana kwenye ukurasa wa jaribio, handaki kwa wazi haibebi, na ushauri maarufu zaidi mtandaoni ni kuzima IPv6 kila mahali. Amri hiyo kwa kweli inanyamazisha paneli. Lakini pia huondoa itifaki ambayo mtandao wa ufikiaji unaweza kutegemea, na inakuacha bila wazo lolote kama anwani ilikuwa uvujaji halisi, anwani ya kiolesura ya link-local, au kitatuzi kinachofanya kazi yake. Masharti matatu huamua udhibiti sahihi, na ni moja tu kati yao inayoongoza kwenye kuzuia.

Tambua kile chombo kilichopima kweli

Kengele ya uongo inayojulikana zaidi ni anwani ya link-local, ambayo huanza na fe80: na ipo kwenye kila kiolesura chenye uwezo wa IPv6, iwe mashine inafikia mtandao kupitia IPv6 au la. Inaonekana kwenye orodha za violesura na katika baadhi ya uchunguzi wa programu, na haisemi chochote kuhusu njia ya trafiki yako.

Kengele ya pili ya uongo ni anwani ya kipekee ya ndani ndani ya fc00::/7, ambayo ni safu ya kibinafsi inayotumika ndani ya mtandao. Chombo kinachochapisha kila anwani ya mwenyeji kitaitaja kwa furaha kando ya ile ya umma. Yeyote anayesoma haraka anaiita uvujaji, kisha hutumia saa moja kwenye tatizo ambalo halipo.

Ya tatu si kengele ya uongo hata kidogo. Anwani ya kimataifa inayofikia mtandao nje ya handaki ndiyo uvujaji halisi, na inafaa kupimwa kabla ya kuamua chochote:

ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co

Ikiwa amri ya kwanza inachapisha anwani ya kimataifa na ya tatu inarudisha anwani ya IPv6 ya umma ambayo si ya handaki, una njia halisi nje ya handaki. Ikiwa ya kwanza haichapishi chochote isipokuwa maingizo ya link-local, hakukuwa na uvujaji wa kurekebisha kamwe.

Masharti matatu huamua udhibiti

Uamuzi si "IPv6 nzuri" au "IPv6 mbaya". Uamuzi ni katika hali gani kati ya tatu uliyo nayo, na kila moja ina jibu sahihi tofauti na gharama tofauti ukikosea.

Safu ya kwanza ndiyo ambayo watu kwa kawaida wanamaanisha, na ni halali. Mteja ambaye toleo lake haliunga mkono IPv6 hapaswi kuacha trafiki ya asili ya IPv6 ya mwenyeji itoke kwa kimya, kwa sababu huo ndio uvujaji ulioandikwa wa rafu mbili. Hoja ni kuizuia kama sera iliyotangazwa, si kuzima itifaki kwenye kerneli. Matokeo yanayoonekana ni sawa na ni moja tu kati yao linaweza kupitiwa baadaye.

Safu ya tatu ndiyo mahali ushauri wa jumla unakuwa hatari kwa vitendo. Waendeshaji wa simu na baadhi ya miunganisho ya nyumbani huendesha mitandao ya IPv6-only yenye tafsiri kwa maeneo ya IPv4. Ondoa IPv6 hapo na utaondoa usafirishaji pekee ambao mtandao unatoa, jambo linalozalisha kukatika mbaya zaidi kuliko kile ulichokuwa ukirekebisha.

Ikiwa toleo halina IPv6, zuia kwa makusudi

Pendelea utaratibu wa mteja mwenyewe, kwa sababu unatumika hasa wakati handaki iko juu na hurudi handaki linapoanguka. OpenVPN ina chaguo la hili, na iptables ina kanuni inayolingana kwa wateja wengine:

block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachable

Maelekezo ni ya wasifu; kanuni ni ya firewall unayoweza kupitia na kuondoa. Zote mbili hushindwa zikiwa zimefungwa, ambayo ndiyo unayotaka, na zote mbili zinaonekana katika diff ya usanidi, ambayo sysctl ya kerneli iliyozikwa katika script ya kuanza haionekani.

Andika kwa nini iko hapo. Kanuni ya kuzuia bila maoni huondolewa na mtu anayefuata anayehitaji IPv6 kwa jambo lingine, na kisha uvujaji hurudi kwa kimya.

Ikiwa toleo linabeba IPv6, ipitishe njia na ujaribu familia zote mbili

Kubeba IPv6 ni jibu bora wakati seva inaunga mkono, na si vigumu zaidi. Sharti ni kwamba kiolesura cha handaki kiwe na anwani katika familia hiyo na njia chaguo-msingi yake ielekee ndani ya handaki badala ya nje ya kiolesura halisi:

ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.co

Utafutaji wa njia ndio jaribio la maamuzi: ikiwa inataja kiolesura cha handaki, trafiki ya IPv6 inabebwa. Simu mbili za curl kisha huthibitisha kile kila familia inaona, na kuzilinganisha ndiyo njia ya kuthibitisha kwamba njia zote mbili sasa zinatoka kupitia toleo moja.

Usisimame kwenye muunganisho uliofanikiwa. Unganisha tena handaki na uangalie tena, kwa sababu njia ya IPv6 iliyosukumwa inaweza kupotea wakati wa kuanzisha upya ikiwa seva inaituma tu katika usanidi wa awali. Kisha angalia eneo moja lililotengwa, kwa sababu kanuni za split-tunnel ndizo mahali familia mbili zinapotofautiana mara nyingi.

Ikiwa mtandao wa ufikiaji ni IPv6 pekee, uache

Mitandao mingine hutoa IPv6 pekee na inatarajia kifaa kifikie huduma za IPv4 kupitia utaratibu wa tafsiri upande wa mwendeshaji. Kuzima IPv6 kwenye mashine kama hiyo si uboreshaji wa usalama; huondoa njia pekee ya kufikia kitu chochote. Hiyo ni kukatika uliyojisababishia kwa ajili ya matokeo ya jaribio ambalo hakuna aliyelihitaji.

Dalili ya kukosea hapa ni ya kipekee na isiyopendeza: handaki inaonekana kuanzishwa, utatuzi wa majina unafanya kazi, na hakuna kinachopakiwa. Ukiona hivyo baada ya mabadiliko ya IPv6, rejesha mpangilio mara moja na uendelee uchunguzi mahali pengine.

Chochote utakachochagua, weka uamuzi wazi katika wasifu au firewall, uunganishe na kile toleo linachounga mkono kweli, na andika tabia ya rafu mbili ambayo inaeleza mjadala wa rafu mbili wa RFC 7359 . Uzuiaji uliotangazwa ni sera. Itifaki iliyozimwa ni njia ya kukwepa ambayo hakuna anayeweza kuikagua, na kutoka ukurasa wa jaribio zinaonekana sawa.