Ваш VPN переносить IPv6 чи лише доходить до сервера?

Тест витоку лише для IPv4 повертається чистим, тест IPv6 показує вашу домашню адресу, а тунель номінально підключений. Таке поєднання звичайне в мережах із подвійним стеком, бо VPN змінив шлях однієї родини й залишив іншу спокійною. Зовнішній тунель і трафік усередині нього — це два окремі рішення про адресацію. Перевірка одного нічого не говорить про інше.

Перевіряйте і те, що повідомляє клієнт, і те, яку родину запит насправді використав, бо ім'я хоста може повернути обидва типи відповіді.

Дві родини, два різні шляхи

Операційна система веде таблицю маршрутизації для кожної родини адрес. Установлення маршруту за замовчуванням для IPv4 не встановлює його для IPv6, а кінцева точка тунелю, доступна через IPv4, нічого не говорить про те, чи потрапляє до неї трафік IPv6. Коли через тунель немає маршруту за замовчуванням IPv6, хост використовує будь-який наявний шлях IPv6, а це часто фізичний канал. З погляду застосунку з'єднання просто пряме.

Ім'я хоста, яке повертає і записи A, і AAAA, ускладнює це побачити, бо застосунки можуть пробувати родини в різному порядку. Успішний запит не доводить, яким шляхом він пішов. Використовуйте тест, який називає перевірену родину.

Дійти до сервера — не означає переносити трафік

Постачальники використовують вислів підтримка IPv6 для кількох різних можливостей. Кінцева точка може приймати з'єднання через IPv6, тоді як тунель досі переносить лише IPv4. Тунель може переносити внутрішні пакети IPv6, тоді як зовнішній транспорт залишається IPv4. Або клієнт може повністю блокувати IPv6, щоб нічого не виходило за межі тунелю. Це три різні поведінки, і сторінка, де сказано лише підтримується IPv6, їх не розрізняє.

Запитайте, яка з них потрібна проєкту. Мережі, якій треба досягати сервісів лише з IPv6, потрібен перенос. Мережі, яка має запобігати прямому трафіку IPv6, потрібне блокування або повний перенос, а не напис на маркетинговій сторінці.

Виберіть між переносом і блокуванням

Перенос означає, що тунель має адресу IPv6, маршрут за замовчуванням усередині та політику, яка дозволяє трафік на обох кінцях. Блокування означає, що клієнт навмисно не дає IPv6 виходити за межі тунелю, що безпечно й марно для досягнення цілей IPv6. Обидва легітимні; жодне не є типовим значенням, яке можна припустити. Спершу виберіть вимогу, потім перевірте, що клієнт справді її реалізує.

Гостьова мережа лише з IPv4 не може перевірити шлях IPv6, тому тест, зроблений там, нічого не говорить про домашню мережу, де існують обидві родини. Перевіряйте там, де відповідна родина справді надається.

Вимикачу захисту потрібне те саме покриття

Вимикач захисту, що охоплює лише IPv4, залишає іншій родині свободу виходити напряму, і це саме той витік, який він мав запобігти. Перегляньте його правила для обох родин і для моментів переходу, коли тунель піднімається або падає. Вимкнення IPv6 на рівні всієї системи не є заміною: воно може зламати не пов'язані служби й ховає проблему політики клієнта за загальносистемною зміною.

Тримайте DNS окремо від усього цього. DNS стосується того, хто відповідає на запит і як запит подорожує; у прикладного з'єднання, що йде далі, свій шлях. Одне може бути правильним, а інше ні, і спільна діагностика дає заплутані висновки.

Запишіть, яку родину перевірив кожен тест і яку можливість заявляє клієнт. Ця пара фактів відповідає на питання, на яке ярлик підтримки ніколи не відповість.