Genel bir IPv6 adresi, trafiğin tüneli atladığı anlamına gelmez

Bir test sayfası genel bir IPv6 adresi bildiriyor ve sonuç hemen VPN'i atlayan trafiğe atlıyor. Bu sonuç, sayfanın hiç göstermediği iki gerçeğe ihtiyaç duyar: isteği hangi uygulamanın yaptığı ve çekirdeğin bunun için hangi yolu seçtiği. Adresin kapsamı, bir adresin ne kadar uzağa yönlendirilebileceğini açıklar. Tam olarak bu paketin nereye gittiği hakkında hiçbir şey söylemez.

Kapsam ve rol, farklı kanıtları olan farklı sorulardır.

Kapsam, onu kimin yönlendirebileceğini yanıtlar, kimin yaptığını değil

Genel unicast adresleri ilke olarak genel internette yönlendirilebilir, benzersiz yerel adresler iç topoloji içindir ve bağlantı yerel adresler yalnızca tek bir bağlantıda bulunur. Bunlar adres bloğunun özellikleridir. Belirli bir hedefe giden bir paketin tünelden çıkıp çıkmadığını yönlendirme tablosu ve arayüze bağlı ilke belirler, ve her ikisi de herhangi bir yöne işaret edebilir.

Bir adres genel kapsamlı olup yine de bir tünelin içinde taşınabilir, çünkü tünel bir yoldur, adres planı değil.

Arayüzdeki tüm adresleri okuyun, web testini değil

Arayüz çıktısı aynı anda birkaç adres gösterir: fiziksel bağlantıdaki dış adres, tünelin adresi ve her arayüz için bir bağlantı yerel adres. Web testi yalnızca tek bir isteğin kaynak adresini gösterir. ip -6 addr show ile başlayın ve her adresin hangi arayüze ait olduğunu ve hangi önek uzunluğunu taşıdığını not edin, sonra isteğin gerçekte hangi arayüzü kullandığını sorun.

Bunu ip -6 route get 2606:4700::1111 ile karşılaştırın; o, çekirdeğin bir hedef için seçeceği arayüzü ve kaynağı yazdırır.

Genel bir önek tünelin içine nasıl girer

İki tasarım tünel arayüzünde genel bir adres üretir. Sağlayıcı tünel üzerinden istemciye yönlendirilen bir öneki devredebilir, bu da adresi genel yapar ama yol hâlâ tüneldir. Ya da istemci kendi yerel genel adresini korur ve dış başlık işi yaparken tünel onu iç trafik olarak taşır. Hiçbir tasarım çeviri gerektirmez ve karışıklık, IPv4 NAT alışkanlıklarının IPv6 gereksinimi sayıldığı yerde başlar.

Yöneticiye ikisinden hangisinin geçerli olduğunu sorun. Yanıt, karşı taraftaki sunucunun sizi kaynak olarak ne gördüğünü belirler.

Özel görünen bir adres neden güven sinyali değildir

Benzersiz yerel adres, işletmecinin onu iç yönlendirme için düşündüğünü söyler, daha fazlasını değil. Cihazın yönetildiğini, yazılımın güvenilir olduğunu veya trafiğin şifrelendiğini kanıtlamaz. Tersine, genel bir adres trafiğin tünelden kaçtığını kanıtlamaz ve bu makalenin tamamı bu varsayımı yıkmak için vardır.

Güveni ilke, kimlik doğrulama ve şifrelemeye göre değerlendirin. Adresin görünümü iki yönde de başarısız olan zayıf bir sezgidir.

Yolu ve ilkeyi iki soru olarak test edin

Önce yol: curl -6 https://ifconfig.me komutunu tünel üzerinden, sonra fiziksel arayüz üzerinden çalıştırın ve yanıtları karşılaştırın. İkincisi ilke: tünelin gerçekte hangi öneki taşıdığını ve karşı tarafın bunun için dönüş yolu olup olmadığını doğrulayın. Genel bir siteye başarılı istek ikisini de kanıtlamaz, çünkü o hedefe her yerden ulaşılabilir. İlke testi için iç bir hedef kullanın.

Her yolun ürettiği kaynak adresi kaydedin. Tüneli atlama iddiasının gerçekte ihtiyaç duyduğu kanıt budur.