VPN'i atlayan IPv6 trafiği: sızdıran rotayı bulun

İki test sayfası birbiriyle çelişiyor: biri sağlayıcının adresini tünel üzerinden bildiriyor, ikincisi ev önekini bildiriyor ve bariz sonuç VPN'in sızdığı. Bu sonuç bir adımı atlıyor, çünkü iki rapor iki farklı yönlendirme kararını işletti ve yalnızca biri tünele girmeliydi. Boşluk genellikle gerçektir ve bu bir kapsam sorunudur, bozuk bir tünel değil. Üç soru bunu çözer: hangi akış gerçekten çıktı, çekirdek onun için hangi rotayı seçti ve istemci hangi davranışı amaçladı.

Bu sırayla çalışın. Sırasız yanıtlamak, istemci arızalı mı diye uzun bir tartışmaya yol açar; oysa gerçek yanıt hiçbir zaman bir IPv6 rotasının kurulmadığıdır.

Hangi akış gerçekten çıktı ve hangi bağdaştırıcı üzerinden

Kullanılan aileyi adlandıran bir testle başlayın, ardından uygulamayı, erişim ağını, yürürlükteki profili ve bağlantının IPv6 sunup sunmadığını yazın. Bu dört olgu iki çalıştırmayı karşılaştırılabilir kılar ve dördüncüsünü insanlar unutur: v6 öneki olmayan bir ağ v6 sızdıramaz ve sonradan bir tane ekleyen ağ yanıtı değiştirir.

Bir sayfayı yükleyip sonucunu okumak yerine her aile için bir istek gönderin. Tek bir sayfa v6 ve v4 kaynaklarını karıştırabilir, arka plan süreci önünüzdeki sekmeden farklı davranabilir ve önbelleğe alınmış bir yanıt test etmeye çalıştığınız ağ değişikliğinden daha uzun yaşayabilir. Test ettiğiniz hedefi sabitleyin ve not edin, böylece yinelenen çalıştırma aynı şeyi ölçsün.

Çekirdeğin seçtiği rotayı okumak

Yönlendirme tablosu tarayıcının yanıtlayamadığı soruyu yanıtlar. Sisteme belirli bir hedefin nereye gideceğini sorun ve görünen varsayılanın yanı sıra ilke kurallarını da ekleyin, çünkü her ikisi de onu geçersiz kılabilir:

ip -6 route get 2606:4700:4700::1111
ip -6 rule show
ip -6 route show table all

Daha belirgin bir önek, bir hedefin tünel dışında kalırken geri kalan her şeyin içeride kalmasının olağan nedenidir ve bir ilke kuralı aynı şeyi herhangi bir rotadan daha yüksek öncelikle yapabilir. Metriği de okuyun, çünkü aynı önek için iki girdi ekrandaki sıralarına göre değil metriğe göre çözülür. Windows'ta eşdeğer liste Get-NetRoute -AddressFamily IPv6, karar sırasına uyması için metriğe göre sıralanmıştır. Tabloda doğru görünen bir kural yine de daha düşük numaralı bir ilke kuralına yenilebilir, bu yüzden kural listesi rota listesiyle aynı nefeste gelir.

İstemcinin IPv6 ilkesi nereden geliyor

İstemci v6'yı tünelden geçirmek için inşa edilebilir, onu reddedebilir veya adlandırılmış bir istisnaya izin verebilir ve bu üç niyet üç farklı doğru sonuç verir. Bir gözlemi sızıntı olarak adlandırmadan önce profili ve istemcinin kendi belgelerini okuyun, çünkü işletim sistemi hâlâ fiziksel bağlantıda komşu keşfi gönderirken v6'yı engelleyen istemci tasarlandığı gibi davranır.

Tünelden bilerek dışlanan bir uygulama, tünelin hiç taşımadığı bir aileden farklı bir durumdur. Birincisi tek bir program hakkında karardır, ikincisi kapsamdaki boşluktur ve onarım buna göre farklıdır. Hiç var olmaması gereken bir rotayı aramadan önce istemcinin dışlanan programlar listesini okuyun.

Dar gözlem, tablo çeliştiğinde

Rota araması belirsiz olduğunda, ana makinede tek bir arabirim gözlemi bunu çözebilir, ama yalnızca soruya yöneltilmişse. VPN'in uç noktasına giden trafik tasarım gereği fiziksel bağdaştırıcıyı geçecektir; önemli olan, tamamen başka bir yere adreslenmiş uygulama akışının da orada görünüp görünmediğidir. Her şeyi toplamak yerine yakalamayı test ettiğiniz hedefe göre filtreleyin.

Geniş bir yakalama, tek sorunun gerektirdiğinden çok daha fazla kişisel trafik açığa çıkarır. Ayrıca soruyu daha az açık yanıtlar, çünkü önemsediğiniz akış ilgisiz bağlantılardan oluşan bir akıntıya gömülü olarak gelir. Test edilen hedefe filtreleyin, birkaç paketten sonra durun ve yakalamayı silin.

Boşluğu kapatmanın üç yolu

Aileyi tünelden geçirin, tünel onu taşıyamadığında istemcide engelleyin veya sahibi ve gözden geçirme tarihi olan bilinçli bir istisna kaydedin. Her biri savunulabilir ve savunulamayan tek şey seçimi örtük bırakmaktır, çünkü örtük seçim tam olarak sızıntının kendisidir. Tünelin hiç v6 çıkışı yoksa, istemcide v6'yı reddetmek hem dürüst hem de test edilebilirdir. Önemli olan, seçimin bir sonraki kişinin bulacağı yerde yazılı olması, altı ay sonra davranıştan çıkarılmamasıdır.

Yeniden bağlandıktan sonra ve ağlar arasında geçtikten sonra denetimi yineleyin, çünkü önceki bağlantı için kurulan bir rota değişikliği atlatabilir. Sonra hedefi, seçilen rotayı, istemci ilkesini ve testin kullandığı aileyi kaydedin, böylece bir sonraki kişi kararı yeniden türetmek yerine okur. RFC 7359 çift yığın sızıntısını hata olarak değil tasarım sorunu olarak belgeler ve çalışan bir v4 tünelinin her şeyi kapsadığını iddia eden biri olduğunda başvurulacak kaynak odur.