VPN oqishini tuzatish uchun IPv6 o'chirilsinmi? Buning o'rniga siyosatni belgilang
Link-local manzil oqish emas va global IPv6 yo'nalishi ham emas. Avval bloklash, tashish va tegmaslik orasidan tanlang.
IPv6 diapazonidan manzil sinov sahifasida ko'rinadi, tunnel uni aniq tashimaydi va internetdagi eng mashhur maslahat IPv6ni hamma joyda o'chirishdir. Bu buyruq panelni chindan ham jim qiladi. Ammo u kirish tarmog'i bog'liq bo'lishi mumkin bo'lgan protokolni ham olib tashlaydi va manzil haqiqiy oqishmi, link-local interfeys manzilimi yoki o'z ishini qilayotgan resolvermi — bilmasdan qoldiradi. To'g'ri nazoratni uch shart belgilaydi va ulardan faqat bittasi bloklashga olib boradi.
Asbob aslida nimani o'lchaganini aniqlang
Eng keng tarqalgan noto'g'ri signal — link-local manzil, u fe80: bilan boshlanadi va IPv6 qobiliyatiga ega har bir interfeysda mavjud, mashina IPv6 orqali internetga chiqa oladimi yoki yo'qmi — muhim emas. U interfeys ro'yxatlarida va ba'zi dastur diagnostikasida ko'rinadi va trafik yo'lingiz haqida hech narsa aytmaydi.
Ikkinchi noto'g'ri signal — fc00::/7 ichidagi noyob lokal manzil, bu tarmoq ichida ishlatiladigan xususiy diapazon. Xostning har bir manzilini chop etadigan asbob uni ommaviy manzilning yonida mamnuniyat bilan sanaydi. Tez o'qigan kishi buni oqish deb ataydi, so'ng mavjud bo'lmagan muammoga bir soat sarflaydi.
Uchinchisi umuman noto'g'ri signal emas. Tunnel tashqarisida internetga yetadigan global manzil — haqiqiy oqish, va biror narsa qaror qilishdan oldin uni o'lchashga arziydi:
ip -6 addr show scope global
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.coAgar birinchi buyruq global manzilni chop etsa va uchinchisi tunnelga tegishli bo'lmagan ommaviy IPv6 manzilini qaytarsa, tunnel tashqarisida haqiqiy yo'lingiz bor. Agar birinchisi link-local yozuvlardan boshqa hech narsa chop etmasa, tuzatiladigan oqish hech qachon bo'lmagan.
Nazoratni uch shart belgilaydi
Qaror "IPv6 yaxshi" yoki "IPv6 yomon" emas. Qaror — siz uch holatdan qaysi biridasiz, va har birining to'g'ri javobi boshqa, xato qilsangiz narxi ham boshqa.
| Situation | Correct control | Cost if you disable IPv6 instead |
|---|---|---|
| Exit has no IPv6, host does | Block IPv6 deliberately in the tunnel policy | Same visible result, no documentation of intent |
| Exit carries IPv6, host leaks | Route IPv6 into the tunnel and verify | You lose IPv6 reachability entirely |
| Access network is IPv6-only | Change nothing; use the tunnel's IPv6 | Machine loses connectivity completely |
Birinchi qator — odamlar odatda nazarda tutadigan narsa va u qonuniy. Chiqishi IPv6ni qo'llab-quvvatlamaydigan mijoz xostning o'z IPv6 trafigini jimgina tashqariga chiqarishiga yo'l qo'ymasligi kerak, chunki bu hujjatlashtirilgan ikki qavatli oqish. Gap uni e'lon qilingan siyosat sifatida bloklashda, yadroda protokolni o'chirishda emas. Ko'rinadigan natija bir xil va keyin tekshirish mumkin bo'lgani faqat bittasi.
Uchinchi qator — umumiy maslahat faol zararli bo'ladigan joy. Uyali operatorlar va ba'zi uy ulanishlari IPv4 manzillari uchun tarjima bilan IPv6-only tarmoqlarini yuritadi. U yerda IPv6ni olib tashlasangiz, tarmoq taklif qiladigan yagona transportni olib tashlaysiz, bu siz tuzatayotgan nosozlikdan ancha yomonroq uzilish keltiradi.
Agar chiqishda IPv6 bo'lmasa, uni ataylab bloklang
Mijozning o'z mexanizmiga ustunlik bering, chunki u tunnel ko'tarilgan paytda aniq amal qiladi va u yiqilganda qaytariladi. OpenVPN buning uchun opsiyaga ega, iptables esa boshqa mijozlar uchun teng qoidaga ega:
block-ipv6
ip6tables -A OUTPUT -o eth0 -j REJECT --reject-with ipv6-port-unreachableKo'rsatma profilga tegishli; qoida siz ko'rib chiqib olib tashlashingiz mumkin bo'lgan xavfsizlik devoriga tegishli. Ikkalasi ham yopiq holda muvaffaqiyatsiz bo'ladi, bu siz xohlagan narsa, va ikkalasi ham konfiguratsiya diffida ko'rinadi, ishga tushirish skriptiga ko'milgan yadro sysctl ko'rinmaydi.
Nega u yerda ekanini yozib qo'ying. Izohsiz bloklash qoidasini IPv6 boshqa narsa uchun kerak bo'lgan keyingi odam olib tashlaydi, keyin oqish jimgina qaytadi.
Agar chiqish IPv6 tashisa, uni marshrutlang va ikkala oilani sinab ko'ring
Server qo'llab-quvvatlasa IPv6 tashish yaxshiroq javob va u unchalik qiyin emas. Talab: tunnel interfeysida o'sha oilaning manzili bo'lishi va uning standart yo'nalishi jismoniy interfeysdan tashqariga emas, tunnel ichiga qarashi kerak:
ip -6 route get 2606:4700:4700::1111
ip -6 route show default
curl -6 -sS --max-time 6 https://ifconfig.co
curl -4 -sS --max-time 6 https://ifconfig.coYo'nalishni qidirish hal qiluvchi sinov: agar u tunnel interfeysini nomlasa, IPv6 trafigi tashilmoqda. Keyin ikkita curl chaqiruvi har bir oila nimani ko'rishini tasdiqlaydi va ularni solishtirish ikkala yo'l endi bir chiqishdan chiqayotganini isbotlash usulidir.
Muvaffaqiyatli ulanishda to'xtamang. Tunnelni qayta ulang va yana tekshiring, chunki server uni faqat boshlang'ich konfiguratsiyada yuborsa, itarilgan IPv6 yo'nalishi qayta o'rnatishda yo'qolishi mumkin. Keyin bitta istisno qilingan manzilni tekshiring, chunki split-tunnel qoidalari ikki oila eng ko'p kelishmaydigan joydir.
Agar kirish tarmog'i faqat IPv6 bo'lsa, unga tegmaslik kerak
Ba'zi tarmoqlar faqat IPv6 beradi va qurilma IPv4 xizmatlariga operator tomonidagi tarjima mexanizmi orqali yetadi deb kutadi. Bunday mashinada IPv6ni o'chirish xavfsizlik yaxshilanishi emas; u har qanday narsaga boradigan yagona yo'lni olib tashlaydi. Bu hech kimga kerak bo'lmagan sinov natijasi uchun o'zingiz keltirgan uzilish.
Bu xatoning alomati o'ziga xos va yoqimsiz: tunnel o'rnatilayotgandek ko'rinadi, nomlarni hal qilish ishlaydi va hech narsa yuklanmaydi. IPv6 o'zgarishidan keyin buni ko'rsangiz, sozlamani darhol tiklang va diagnostikani boshqa joyda davom ettiring.
Nima tanlasangiz ham, qarorni profilda yoki xavfsizlik devorida ochiq saqlang, uni chiqish aslida qo'llab-quvvatlaydigan narsa bilan bog'lang va RFC 7359 ikki qavatli muhokamasi tasvirlagan ikki qavatli xatti-harakatni qayd eting. E'lon qilingan blok — siyosat. O'chirilgan protokol — hech kim audit qila olmaydigan aylanma yo'l, va sinov sahifasidan ikkalasi bir xil ko'rinadi.