Địa chỉ IPv6 toàn cầu không có nghĩa là lưu lượng đi vòng qua đường hầm

Một trang kiểm tra báo cáo địa chỉ IPv6 toàn cầu và kết luận nhảy ngay sang lưu lượng đi vòng qua VPN. Kết luận đó cần hai dữ kiện mà trang chưa từng hiển thị: ứng dụng nào đã gửi yêu cầu, và nhân đã chọn tuyến nào cho nó. Phạm vi địa chỉ mô tả một địa chỉ có thể được định tuyến đến đâu. Nó không nói gì về việc gói tin cụ thể này đã đi đâu.

Phạm vi và vai trò là những câu hỏi khác nhau với bằng chứng khác nhau.

Phạm vi trả lời ai có thể định tuyến nó, không phải ai đang làm việc đó

Địa chỉ unicast toàn cầu về nguyên tắc có thể định tuyến trên internet công cộng, địa chỉ cục bộ duy nhất dành cho cấu trúc liên kết nội bộ, và địa chỉ cục bộ liên kết chỉ tồn tại trên một liên kết. Đó là các thuộc tính của khối địa chỉ. Việc một gói tin đến một đích nhất định có ra khỏi đường hầm hay không do bảng định tuyến và chính sách gắn với giao diện quyết định, và cả hai đều có thể chỉ theo bất kỳ hướng nào.

Một địa chỉ có thể có phạm vi toàn cầu mà vẫn được mang bên trong đường hầm, vì đường hầm là một đường đi chứ không phải một quy hoạch địa chỉ.

Hãy đọc mọi địa chỉ trên giao diện, không phải bài kiểm tra web

Kết quả của giao diện hiển thị nhiều địa chỉ cùng lúc: địa chỉ bên ngoài trên liên kết vật lý, địa chỉ của đường hầm và một địa chỉ cục bộ liên kết cho mỗi giao diện. Bài kiểm tra web chỉ hiển thị địa chỉ nguồn của một yêu cầu. Bắt đầu với ip -6 addr show và ghi lại địa chỉ nào thuộc giao diện nào và nó mang tiền tố dài bao nhiêu, rồi hỏi yêu cầu thực sự đã dùng giao diện nào.

So sánh điều đó với ip -6 route get 2606:4700::1111, lệnh này in ra giao diện và nguồn mà nhân sẽ chọn cho một đích.

Một tiền tố toàn cầu vào bên trong đường hầm như thế nào

Hai thiết kế tạo ra địa chỉ toàn cầu trên một giao diện đường hầm. Nhà cung cấp có thể ủy thác một tiền tố được định tuyến đến máy khách qua đường hầm, điều này làm địa chỉ trở thành toàn cầu trong khi đường đi vẫn là đường hầm. Hoặc máy khách giữ địa chỉ toàn cầu gốc của mình và đường hầm mang nó như lưu lượng bên trong trong khi tiêu đề bên ngoài làm việc. Không thiết kế nào cần dịch địa chỉ, và sự nhầm lẫn bắt đầu ở chỗ thói quen IPv4 NAT bị coi là yêu cầu của IPv6.

Hỏi quản trị viên xem cái nào trong hai cái được áp dụng. Câu trả lời quyết định máy chủ phía bên kia thấy bạn là nguồn nào.

Vì sao một địa chỉ trông như riêng tư không phải là tín hiệu tin cậy

Địa chỉ cục bộ duy nhất nói rằng nhà vận hành dự định nó cho định tuyến nội bộ, và không hơn thế. Nó không chứng minh thiết bị được quản lý, phần mềm đáng tin cậy hay lưu lượng được mã hóa. Ngược lại, địa chỉ toàn cầu không chứng minh lưu lượng đã thoát khỏi đường hầm, và chính giả định đó là lý do toàn bộ bài viết này tồn tại.

Đánh giá tin cậy bằng chính sách, xác thực và mã hóa. Diện mạo địa chỉ là một suy đoán yếu và thất bại ở cả hai hướng.

Kiểm tra tuyến và chính sách như hai câu hỏi

Thứ nhất là tuyến: chạy curl -6 https://ifconfig.me qua đường hầm rồi qua giao diện vật lý, và so sánh các câu trả lời. Thứ hai là chính sách: xác nhận đường hầm thực sự mang tiền tố nào và phía bên kia có tuyến quay về cho nó hay không. Một yêu cầu thành công đến một trang công cộng không chứng minh cả hai, vì đích đó có thể đến được từ bất cứ đâu. Dùng một đích nội bộ cho bài kiểm tra chính sách.

Ghi lại địa chỉ nguồn mà mỗi đường đi tạo ra. Đó chính là bằng chứng mà một tuyên bố về việc đi vòng thực sự cần.