VPN ของคุณขนส่ง IPv6 หรือเพียงแค่ไปถึงเซิร์ฟเวอร์

การทดสอบการรั่วไหลเฉพาะ IPv4 กลับมาสะอาด แต่การทดสอบ IPv6 กลับแสดงที่อยู่บ้านของคุณ ทั้งที่อุโมงค์เชื่อมต่ออยู่ตามชื่อ การผสมผสานแบบนี้พบได้ทั่วไปในเครือข่าย dual-stack เพราะ VPN เปลี่ยนเส้นทางของตระกูลหนึ่งแต่ปล่อยอีกตระกูลไว้ตามเดิม อุโมงค์ชั้นนอกกับทราฟฟิกที่อยู่ข้างในเป็นการตัดสินใจเรื่องที่อยู่คนละเรื่องกัน การทดสอบอย่างหนึ่งจึงไม่ได้บอกอะไรเกี่ยวกับอีกอย่างหนึ่ง

ตรวจสอบทั้งสิ่งที่ไคลเอนต์รายงานและตระกูลที่คำขอใช้จริง เพราะชื่อโฮสต์สามารถคืนคำตอบได้ทั้งสองแบบ

สองตระกูล สองเส้นทางที่ต่างกัน

ระบบปฏิบัติการเก็บตารางเส้นทางแยกตามตระกูลที่อยู่ การติดตั้งเส้นทางเริ่มต้นสำหรับ IPv4 ไม่ได้ติดตั้งให้ IPv6 และจุดปลายอุโมงค์ที่เข้าถึงได้ผ่าน IPv4 ก็ไม่ได้บอกอะไรว่าทราฟฟิก IPv6 เข้าไปในนั้นหรือไม่ เมื่อไม่มีเส้นทางเริ่มต้น IPv6 ผ่านอุโมงค์ โฮสต์จะใช้เส้นทาง IPv6 เท่าที่มี ซึ่งมักเป็นลิงก์ทางกายภาพ จากมุมมองของแอปพลิเคชัน การเชื่อมต่อเป็นเพียงการตรงถึงกัน

ชื่อโฮสต์ที่คืนทั้งเรกคอร์ด A และ AAAA ทำให้เห็นได้ยากขึ้น เพราะแอปพลิเคชันอาจลองตระกูลต่าง ๆ ในลำดับที่ต่างกัน คำขอที่สำเร็จไม่ได้พิสูจน์ว่าใช้เส้นทางใด ให้ใช้การทดสอบที่ระบุตระกูลที่ทดสอบ

การไปถึงเซิร์ฟเวอร์ไม่ใช่การขนส่งทราฟฟิก

ผู้ให้บริการใช้คำว่า รองรับ IPv6 กับความสามารถที่ต่างกันหลายอย่าง จุดปลายอาจรับการเชื่อมต่อผ่าน IPv6 ขณะที่อุโมงค์ยังขนส่งเพียง IPv4 อุโมงค์อาจขนส่งแพ็กเก็ตภายในที่เป็น IPv6 ขณะที่การขนส่งชั้นนอกยังเป็น IPv4 หรือไคลเอนต์อาจบล็อก IPv6 ทั้งหมดเพื่อไม่ให้มีสิ่งใดหลุดออกนอกอุโมงค์ สิ่งเหล่านี้เป็นพฤติกรรมที่ต่างกันสามแบบ และหน้าที่เพียงบอกว่ารองรับ IPv6 ก็ไม่ได้แยกแยะสิ่งเหล่านี้

ถามว่าการออกแบบต้องการสิ่งใด การเชื่อมต่อที่ต้องไปถึงบริการที่มีเฉพาะ IPv6 ต้องอาศัยการขนส่ง เครือข่ายที่ต้องป้องกันทราฟฟิก IPv6 โดยตรงต้องอาศัยการบล็อกหรือการขนส่งเต็มรูปแบบ ไม่ใช่ป้ายบนหน้าตลาด

เลือกระหว่างการขนส่งกับการบล็อก

การขนส่งหมายถึงอุโมงค์มีที่อยู่ IPv6 มีเส้นทางเริ่มต้นอยู่ข้างใน และมีนโยบายที่อนุญาตทราฟฟิกที่ทั้งสองปลาย การบล็อกหมายถึงไคลเอนต์หยุด IPv6 ไม่ให้ออกนอกอุโมงค์โดยเจตนา ซึ่งปลอดภัยแต่ไม่มีประโยชน์ในการไปถึงปลายทาง IPv6 ทั้งสองแบบถูกต้องตามหลัก และไม่มีแบบใดเป็นค่าเริ่มต้นที่คุณจะถือเอาได้ ให้เลือกข้อกำหนดก่อน แล้วจึงตรวจสอบว่าไคลเอนต์นำไปใช้จริง

เครือข่ายแขกที่มีเฉพาะ IPv4 ไม่สามารถทดสอบเส้นทาง IPv6 ได้ การทดสอบที่ทำที่นั่นจึงไม่ได้บอกอะไรเกี่ยวกับเครือข่ายที่บ้านซึ่งมีทั้งสองตระกูล ให้ทดสอบในที่ที่มีการให้บริการตระกูลที่เกี่ยวข้องจริง

คิลสวิตช์ต้องครอบคลุมพื้นที่เดียวกัน

คิลสวิตช์ที่ครอบคลุมเฉพาะ IPv4 ปล่อยให้อีกตระกูลออกได้โดยตรง ซึ่งเป็นการรั่วไหลที่มันควรป้องกันไว้พอดี ให้ตรวจทานกฎของมันสำหรับทั้งสองตระกูลและสำหรับช่วงเวลาที่เปลี่ยนผ่าน ขณะที่อุโมงค์กำลังขึ้นหรือลง การปิด IPv6 ทั้งระบบไม่ใช่สิ่งทดแทน เพราะอาจทำให้บริการที่ไม่เกี่ยวข้องเสียหาย และซ่อนปัญหาเรื่องนโยบายของไคลเอนต์ไว้หลังการเปลี่ยนแปลงทั้งเครื่อง

แยก DNS ออกจากเรื่องทั้งหมดนี้ DNS เกี่ยวกับว่าใครตอบคำถามและคำถามเดินทางอย่างไร ส่วนการเชื่อมต่อของแอปพลิเคชันที่ตามมามีเส้นทางของตัวเอง ฝ่ายหนึ่งอาจถูกต้องในขณะที่อีกฝ่ายไม่ถูกต้อง และการวินิจฉัยทั้งสองพร้อมกันทำให้ข้อสรุปสับสน

บันทึกว่าการทดสอบแต่ละครั้งทดสอบตระกูลใด และไคลเอนต์อ้างความสามารถใด ข้อเท็จจริงคู่นี้ตอบคำถามที่ป้ายสนับสนุนจะไม่มีวันตอบได้