VPN கசிவைச் சரிசெய்ய IPv6-ஐ முடக்கவா? அதற்குப் பதிலாக கொள்கையை முடிவு செய்யுங்கள்
லிங்க்-லோக்கல் முகவரி கசிவு அல்ல, உலகளாவிய IPv6 வழியும் அல்ல. முதலில் தடுத்தல், எடுத்துச் செல்லல், அப்படியே விடல் ஆகியவற்றில் தேர்ந்தெடுங்கள்.
IPv6 வரம்பிலிருந்து ஒரு முகவரி சோதனைப் பக்கத்தில் தோன்றுகிறது, சுரங்கப்பாதை அதைத் தெளிவாக எடுத்துச் செல்லவில்லை, மேலும் இணையத்தின் மிகவும் பிரபலமான ஆலோசனை IPv6-ஐ எல்லா இடங்களிலும் முடக்குவதாகும். அந்தக் கட்டளை பேனலை உண்மையில் அமைதியாக்குகிறது. ஆனால் அது அணுகல் வலையமைப்பு சார்ந்திருக்கக்கூடிய ஒரு நெறிமுறையையும் நீக்குகிறது, மேலும் முகவரி உண்மையான கசிவா, லிங்க்-லோக்கல் இடைமுக முகவரியா, அல்லது தன் வேலையைச் செய்யும் தீர்வாக்கியா என்பதை அறியாமல் உங்களை விடுகிறது. சரியான கட்டுப்பாட்டை மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன, அவற்றில் ஒன்று மட்டுமே தடுப்புக்கு வழிவகுக்கிறது.
கருவி உண்மையில் எதை அளந்தது என்பதைக் கண்டறியுங்கள்
மிகவும் பொதுவான பொய்யான எச்சரிக்கை லிங்க்-லோக்கல் முகவரி, அது fe80: உடன் தொடங்கி IPv6 திறன் கொண்ட ஒவ்வொரு இடைமுகத்திலும் உள்ளது, இயந்திரம் IPv6 வழியாக இணையத்தை அடைகிறதா இல்லையா என்பது முக்கியமல்ல. இது இடைமுகப் பட்டியல்களிலும் சில பயன்பாட்டு நோயறிதல்களிலும் தோன்றும், உங்கள் போக்குவரத்துப் பாதையைப் பற்றி எதுவும் சொல்லாது.
இரண்டாவது பொய்யான எச்சரிக்கை fc00::/7 உள்ளே உள்ள தனித்துவமான உள்ளூர் முகவரி, இது வலையமைப்புக்குள் பயன்படுத்தப்படும் தனிப்பட்ட வரம்பு. புரவலனின் ஒவ்வொரு முகவரியையும் அச்சிடும் கருவி அதைப் பொது முகவரிக்கு அருகில் மகிழ்ச்சியுடன் பட்டியலிடும். விரைவாகப் படிப்பவர் அதைக் கசிவு என்பார், பின்னர் இல்லாத பிரச்சினையில் ஒரு மணி நேரம் செலவிடுவார்.
மூன்றாவது எந்தப் பொய்யான எச்சரிக்கையும் அல்ல. சுரங்கப்பாதைக்கு வெளியே இணையத்தை அடையும் உலகளாவிய முகவரியே உண்மையான கசிவு, எதையும் முடிவு செய்வதற்கு முன் அதை அளவிடுவது மதிப்புள்ளது:
ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.coமுதல் கட்டளை உலகளாவிய முகவரியை அச்சிட்டு மூன்றாவது சுரங்கப்பாதையின் இல்லாத பொது IPv6 முகவரியைத் திருப்பித் தந்தால், சுரங்கப்பாதைக்கு வெளியே உங்களுக்கு உண்மையான பாதை உள்ளது. முதல் ஒன்று லிங்க்-லோக்கல் பதிவுகளைத் தவிர எதையும் அச்சிடவில்லை என்றால், சரிசெய்ய வேண்டிய கசிவு ஒருபோதும் இல்லை.
கட்டுப்பாட்டை மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன
முடிவு "IPv6 நல்லது" அல்லது "IPv6 மோசம்" அல்ல. முடிவு நீங்கள் மூன்று சூழ்நிலைகளில் எதில் இருக்கிறீர்கள் என்பதாகும், ஒவ்வொன்றுக்கும் வேறு சரியான பதில் உள்ளது, தவறு செய்தால் விலையும் வேறு.
| Situation | Correct control | Cost if you disable IPv6 instead |
|---|---|---|
| Exit has no IPv6, host does | Block IPv6 deliberately in the tunnel policy | Same visible result, no documentation of intent |
| Exit carries IPv6, host leaks | Route IPv6 into the tunnel and verify | You lose IPv6 reachability entirely |
| Access network is IPv6-only | Change nothing; use the tunnel's IPv6 | Machine loses connectivity completely |
முதல் வரிசை மக்கள் பொதுவாகக் கருதுவது, அது நியாயமானது. வெளியேறும் பாதையில் IPv6 ஆதரவு இல்லாத வாடிக்கையாளர் புரவலனின் சொந்த IPv6 போக்குவரத்தை அமைதியாக வெளியே விடக்கூடாது, ஏனெனில் அதுவே ஆவணப்படுத்தப்பட்ட இரட்டை அடுக்கு கசிவு. முக்கிய விஷயம் அதை அறிவிக்கப்பட்ட கொள்கையாகத் தடுப்பது, கர்னலில் நெறிமுறையை முடக்குவது அல்ல. தெரியும் முடிவு ஒன்றுதான், பின்னர் மதிப்பாய்வு செய்யக்கூடியது ஒன்று மட்டுமே.
மூன்றாவது வரிசையில்தான் பொதுவான ஆலோசனை தீவிரமாகத் தீங்கு விளைவிக்கிறது. மொபைல் ஆபரேட்டர்களும் சில வீட்டு இணைப்புகளும் IPv4 இடங்களுக்கு மொழிபெயர்ப்புடன் IPv6-only வலையமைப்புகளை இயக்குகின்றன. அங்கு IPv6-ஐ நீக்கினால் வலையமைப்பு வழங்கும் ஒரே போக்குவரத்தை நீக்குவீர்கள், இது நீங்கள் பிழைத்திருத்தியதை விட மிக மோசமான தடையை உருவாக்குகிறது.
வெளியேறும் பாதையில் IPv6 இல்லை என்றால், வேண்டுமென்றே தடுங்கள்
வாடிக்கையாளரின் சொந்த வழிமுறைக்கு முன்னுரிமை கொடுங்கள், ஏனெனில் அது சுரங்கப்பாதை மேலே இருக்கும் வரை சரியாகப் பொருந்தும், அது விழும்போது பின்வாங்கும். OpenVPN இதற்கு ஒரு விருப்பம் உள்ளது, மற்ற வாடிக்கையாளர்களுக்கு iptables சமமான விதியைக் கொண்டுள்ளது:
block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachableஉத்தரவு சுயவிவரத்திற்குச் சொந்தமானது; விதி நீங்கள் மதிப்பாய்வு செய்து நீக்கக்கூடிய தீச்சுவருக்குச் சொந்தமானது. இரண்டும் மூடிய நிலையில் தோல்வியடைகின்றன, அதுவே உங்களுக்கு வேண்டியது, இரண்டும் கட்டமைப்பு வித்தியாசத்தில் தெரியும், தொடக்க ஸ்கிரிப்டில் புதைக்கப்பட்ட கர்னல் sysctl தெரியாது.
அது ஏன் உள்ளது என்பதைப் பதிவு செய்யுங்கள். கருத்து இல்லாத தடுப்பு விதியை IPv6 வேறு ஏதாவதற்குத் தேவைப்படும் அடுத்த நபர் நீக்குவார், பின்னர் கசிவு அமைதியாகத் திரும்பும்.
வெளியேறும் பாதை IPv6-ஐ எடுத்துச் சென்றால், அதை வழிப்படுத்தி இரண்டு குடும்பங்களையும் சோதியுங்கள்
சேவையகம் ஆதரித்தால் IPv6-ஐ எடுத்துச் செல்வது சிறந்த பதில், அது மிகவும் கடினமானதும் அல்ல. தேவை என்னவென்றால், சுரங்கப்பாதை இடைமுகத்திற்கு அந்தக் குடும்பத்தில் ஒரு முகவரி இருக்க வேண்டும், அதன் இயல்புநிலை வழி இயற்பியல் இடைமுகத்திற்கு வெளியே அல்ல, சுரங்கப்பாதைக்குள் காட்ட வேண்டும்:
ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.coவழித் தேடலே தீர்க்கமான சோதனை: அது சுரங்கப்பாதை இடைமுகத்தைப் பெயரிட்டால், IPv6 போக்குவரத்து எடுத்துச் செல்லப்படுகிறது. பின்னர் இரண்டு curl அழைப்புகள் ஒவ்வொரு குடும்பமும் எதைப் பார்க்கிறது என்பதை உறுதிப்படுத்துகின்றன, அவற்றை ஒப்பிடுவதே இரண்டு பாதைகளும் இப்போது ஒரே வெளியேற்றத்தின் வழியாக வெளியேறுகின்றன என்பதை நிரூபிக்கும் வழி.
வெற்றிகரமான இணைப்பில் நிற்காதீர்கள். சுரங்கப்பாதையை மீண்டும் இணைத்து மீண்டும் சரிபாருங்கள், ஏனெனில் சேவையகம் அதை ஆரம்ப கட்டமைப்பில் மட்டுமே அனுப்பினால் தள்ளப்பட்ட IPv6 வழி மீள்நிறுவலில் இழக்கப்படலாம். பின்னர் ஒரு விலக்கப்பட்ட இடத்தைச் சரிபாருங்கள், ஏனெனில் பிளவு-சுரங்கப்பாதை விதிகளில்தான் இரண்டு குடும்பங்களும் அடிக்கடி வேறுபடுகின்றன.
அணுகல் வலையமைப்பு IPv6 மட்டுமே என்றால், அதை விட்டுவிடுங்கள்
சில வலையமைப்புகள் IPv6-ஐ மட்டுமே வழங்குகின்றன, சாதனம் ஆபரேட்டர் பக்கத்தின் மொழிபெயர்ப்பு வழிமுறை மூலம் IPv4 சேவைகளை அடையும் என்று எதிர்பார்க்கின்றன. அத்தகைய இயந்திரத்தில் IPv6-ஐ முடக்குவது பாதுகாப்பு மேம்பாடு அல்ல; அது எதற்கும் உள்ள ஒரே பாதையை நீக்குகிறது. அது யாருக்கும் தேவையில்லாத சோதனை முடிவுக்காக நீங்களே உருவாக்கிக்கொண்ட தடை.
இங்கே தவறு செய்வதன் அறிகுறி தனித்துவமானது மற்றும் விரும்பத்தகாதது: சுரங்கப்பாதை நிறுவப்படுவது போல் தெரிகிறது, பெயர் தீர்வு வேலை செய்கிறது, எதுவும் ஏற்றப்படவில்லை. IPv6 மாற்றத்திற்குப் பிறகு இதைக் கண்டால் உடனடியாக அமைப்பை மீட்டெடுத்து நோயறிதலை வேறெங்கும் தொடருங்கள்.
நீங்கள் எதைத் தேர்ந்தெடுத்தாலும், முடிவை சுயவிவரத்திலோ தீச்சுவரிலோ வெளிப்படையாக வைத்திருங்கள், வெளியேற்றம் உண்மையில் எதை ஆதரிக்கிறது என்பதுடன் அதை இணையுங்கள், மேலும் RFC 7359 இரட்டை அடுக்கு விவாதம் விவரிக்கும் இரட்டை அடுக்கு நடத்தையைக் குறிப்பிடுங்கள். அறிவிக்கப்பட்ட தடுப்பு ஒரு கொள்கை. முடக்கப்பட்ட நெறிமுறை யாரும் தணிக்கை செய்ய முடியாத ஒரு புறவழி, சோதனைப் பக்கத்திலிருந்து இரண்டும் ஒரே மாதிரி தெரிகின்றன.