I-disable ang IPv6 para ayusin ang pagtagas ng VPN? Magpasya na lang sa patakaran

May address mula sa hanay ng IPv6 na lumilitaw sa isang pahina ng pagsubok, malinaw na hindi ito dinadala ng tunnel, at ang pinakasikat na payo sa internet ay i-disable ang IPv6 sa lahat ng lugar. Talagang pinapatahimik ng utos na iyon ang panel. Pero tinatanggal din nito ang isang protocol na maaaring nakasalalay sa network ng access, at iniiwan ka nitong walang ideya kung ang address ay tunay na pagtagas, isang link-local interface address, o isang resolver na gumagawa ng trabaho nito. Tatlong kondisyon ang nagpapasya sa tamang kontrol, at isa lang sa kanila ang humahantong sa pagharang.

Tukuyin kung ano talaga ang sinukat ng kasangkapan

Ang pinakakaraniwang maling alerto ay isang link-local address, na nagsisimula sa fe80: at umiiral sa bawat interface na may kakayahang IPv6, hindi alintana kung naaabot ng makina ang internet sa pamamagitan ng IPv6. Lumilitaw ito sa mga listahan ng interface at sa ilang diagnostiko ng aplikasyon, at wala itong sinasabi tungkol sa landas ng iyong trapiko.

Ang pangalawang maling alerto ay isang natatanging lokal na address sa loob ng fc00::/7, na isang pribadong hanay na ginagamit sa loob ng network. Ang kasangkapang naglilimbag ng bawat address ng host ay masayang ililista ito sa tabi ng pampublikong isa. Sinumang mabilis magbasa ay tinatawag itong pagtagas, at pagkatapos ay gumugol ng isang oras sa problemang wala naman.

Ang pangatlo ay hindi maling alerto. Ang global na address na umaabot sa internet sa labas ng tunnel ang tunay na pagtagas, at sulit itong sukatin bago magpasya ng anuman:

ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co

Kung ang unang utos ay naglilimbag ng global na address at ang pangatlo ay nagbabalik ng pampublikong IPv6 address na hindi pag-aari ng tunnel, mayroon kang tunay na landas sa labas ng tunnel. Kung ang una ay walang inililimbag maliban sa mga link-local entry, kailanman ay walang pagtagas na aayusin.

Tatlong kondisyon ang nagpapasya sa kontrol

Ang desisyon ay hindi "IPv6 mabuti" o "IPv6 masama". Ito ay kung alin sa tatlong sitwasyon ang kinalalagyan mo, at bawat isa ay may ibang tamang sagot na may ibang gastos kung magkamali ka.

Ang unang hilera ang karaniwang ibig sabihin ng mga tao, at ito ay lehitimo. Ang kliyenteng ang labasan ay walang suporta sa IPv6 ay hindi dapat tahimik na hayaang lumabas ang sariling trapikong IPv6 ng host, dahil iyon ang nakadokumentong pagtagas sa dobleng stack. Ang punto ay harangin ito bilang isang ipinahayag na patakaran, hindi patayin ang isang protocol sa kernel. Ang nakikitang resulta ay magkapareho at isa lang sa dalawa ang masusuri mamaya.

Ang pangatlong hilera ang lugar kung saan ang pangkalahatang payo ay nagiging aktibong nakakasama. Ang mga mobile operator at ilang koneksyon sa bahay ay nagpapatakbo ng mga IPv6-only network na may pagsasalin para sa mga destinasyong IPv4. Alisin ang IPv6 doon at aalisin mo ang nag-iisang transportasyon na inaalok ng network, na nagdudulot ng mas malubhang pagkaantala kaysa sa inaayos mo.

Kung walang IPv6 ang labasan, harangin ito nang sinasadya

Mas mainam na gamitin ang mekanismo ng kliyente mismo, dahil ito ay naaangkop nang eksakto habang nakataas ang tunnel at bumabalik kapag ito ay bumagsak. OpenVPN ay may opsyon para dito, at ang iptables ay may katumbas na tuntunin para sa ibang kliyente:

block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachable

Ang direktiba ay kabilang sa profile; ang tuntunin ay kabilang sa isang firewall na masusuri at matatanggal mo. Pareho silang nabigo nang sarado, na siyang gusto mo, at pareho silang nakikita sa isang diff ng konfigurasyon, na hindi kaya ng isang sysctl ng kernel na nakabaon sa isang startup script.

Itala kung bakit naroon ito. Ang tuntunin ng pagharang na walang komento ay tatanggalin ng susunod na taong nangangailangan ng IPv6 para sa ibang bagay, at pagkatapos ay tahimik na babalik ang pagtagas.

Kung dinadala ng labasan ang IPv6, iruta ito at subukan ang dalawang pamilya

Ang pagdala ng IPv6 ay ang mas mabuting sagot kapag sinusuportahan ito ng server, at hindi ito gaanong mahirap. Ang kinakailangan ay ang interface ng tunnel ay may address sa pamilyang iyon at ang default na ruta nito ay tumuturo sa loob ng tunnel at hindi palabas ng pisikal na interface:

ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.co

Ang paghahanap ng ruta ang mapagpasyang pagsubok: kung pinangalanan nito ang interface ng tunnel, dinadala ang trapikong IPv6. Pagkatapos ay kinukumpirma ng dalawang tawag sa curl kung ano ang nakikita ng bawat pamilya, at ang paghahambing sa kanila ang paraan upang patunayang ang dalawang landas ay lumalabas na sa parehong labasan.

Huwag huminto sa matagumpay na koneksyon. Muling ikonekta ang tunnel at suriin muli, dahil ang itinulak na rutang IPv6 ay maaaring mawala sa muling pagtatatag kung ipinapadala lamang ito ng server sa paunang konfigurasyon. Pagkatapos ay suriin ang isang ibinukod na destinasyon, dahil ang mga tuntunin ng split-tunnel ang lugar kung saan madalas magkaiba ang dalawang pamilya.

Kung ang network ng access ay IPv6 lamang, pabayaan ito

Ang ilang network ay nagbibigay lamang ng IPv6 at inaasahang maaabot ng aparato ang mga serbisyong IPv4 sa pamamagitan ng mekanismo ng pagsasalin sa panig ng operator. Ang pag-disable ng IPv6 sa gayong makina ay hindi pagpapabuti ng seguridad; inaalis nito ang nag-iisang landas patungo sa anuman. Iyon ay isang pagkaantala na ikaw mismo ang nagdulot para sa isang resulta ng pagsubok na walang kailangan.

Ang sintomas ng pagkakamali dito ay kakaiba at hindi kasiya-siya: tila nagtatatag ang tunnel, gumagana ang resolusyon ng pangalan, at walang naglo-load. Kung makita mo iyon pagkatapos ng pagbabago sa IPv6, agad na ibalik ang setting at ipagpatuloy ang diagnosis sa ibang lugar.

Anuman ang piliin mo, panatilihing tahasan ang desisyon sa profile o firewall, ikabit ito sa aktwal na sinusuportahan ng labasan, at itala ang pag-uugali ng dobleng stack na inilalarawan ng pagtalakay sa dobleng stack ng RFC 7359 . Ang ipinahayag na pagharang ay isang patakaran. Ang naka-disable na protocol ay isang liko na walang makakapag-audit, at mula sa pahina ng pagsubok ay magkapareho silang tingnan.