Cách kiểm tra IPv6 qua VPN bằng tài nguyên của chính bạn

Một trang kiểm tra IP công cộng trả lời một câu hỏi, và thường không phải câu bạn đặt ra. Nó cho bạn biết địa chỉ ra mà trang đã thấy; nó không cho biết tuyến IPv6 qua đường hầm có hoạt động không, máy chủ ưu tiên IPv6 hay đã quay lui, hay một ứng dụng bị loại trừ đã đi đường khác. Một tài nguyên được ủy quyền do bạn kiểm soát trả lời đúng câu hỏi hẹp hơn, vì bạn thấy cả hai đầu. Hướng dẫn dưới đây nói về việc đi đến một kết luận có thể bảo vệ được, không phải về việc có một kết quả xanh.

Bước 1: nói rõ bạn đang kiểm tra tuyến IPv6 nào

Hãy nói trong một câu. Yêu cầu tới địa chỉ IPv6 của chính máy chủ đường hầm kiểm tra đường hầm; yêu cầu tới một máy chủ bên kia điểm ra kiểm tra lối ra IPv6 của điểm ra; yêu cầu tới một địa chỉ IPv6 riêng tư kiểm tra tuyến nội bộ.

Đây là ba khẳng định khác nhau và một yêu cầu thành công không thể chống đỡ cả ba. Hãy chọn cái quan trọng cho quyết định trước mắt và ghi lại trước khi chạy bất cứ điều gì. Nếu mối lo là IPv6 có rò rỉ quanh đường hầm không, câu hỏi là về việc chọn tuyến của máy chủ, không phải về khả năng tiếp cận của điểm ra. Nếu mối lo là phía xa có tới được một dịch vụ nội bộ không, điểm ra không liên quan.

Bước 2: xác nhận máy chủ chọn đúng tuyến đó

ip -6 route get 2001:db8:1::10 in ra tuyến, địa chỉ nguồn và giao diện mà nhân sẽ dùng, và phần còn lại của bài kiểm tra phụ thuộc vào sự thật này.

Có một giao diện không giống với việc nó được chọn. Máy chủ hai ngăn xếp có bảng ưu tiên, và /etc/gai.conf trên Linux có thể đổi họ giao thức nào thắng cho một tên phân giải ra cả hai.

Bước 3: dùng đích và tên hợp pháp

Nếu bạn kiểm tra HTTPS, hãy dùng tên máy chủ mà chứng chỉ được cấp cho, và giữ nguyên việc xác minh; chuyển sang địa chỉ nguyên văn để bài kiểm tra đạt sẽ tắt đúng cái kiểm tra chứng minh bạn đã tới máy chủ dự định. Một dịch vụ chẩn đoán do bạn kiểm soát, trả lời trên một tên đã biết với chứng chỉ hợp lệ, là mục tiêu sạch nhất. Nó cũng cho bạn một dòng nhật ký phía máy chủ để đối chiếu, điều mà trình kiểm tra bên thứ ba sẽ không bao giờ cho.

Chạy yêu cầu ở dạng hiển thị địa chỉ đã dùng: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. Tùy chọn -6 ép buộc họ giao thức, và đó là cách bạn tách IPv6 không hoạt động khỏi IPv6 không được ưu tiên.

Đối với một kiểm tra khả năng tiếp cận thuần túy khi ICMPv6 được cho phép, ping -6 -c 3 2001:db8:1::10 là đủ. Nó chứng minh đường đi và không gì ở trên.

Bước 4: đối chiếu cả hai đầu

Khi bạn có quyền truy cập cả hai đầu, hãy chạy tcpdump -ni any ip6 and host 2001:db8:1::10 trên máy khách và lệnh tương đương trên tài nguyên, kèm dấu thời gian, và xác nhận cùng một luồng xuất hiện ở cả hai. Đó là điều biến một kết quả có vẻ hợp lý thành bằng chứng: chỉ nhìn từ máy khách không thể phân biệt câu trả lời từ tài nguyên với câu trả lời từ một thứ gì đó ở giữa. Hãy giữ việc bắt gói hẹp trong một đích để đầu ra vẫn đọc được và phiên không liên quan của ai đó không lọt vào tệp.

Lặp lại bài kiểm tra sau khi kết nối lại nếu mối lo là chính sách có sống sót qua lần khởi động lại không. Trạng thái tuyến và tường lửa được áp dụng một lần lúc kết nối có thể khác với trạng thái được áp dụng lại, và khác biệt chỉ hiện ra ở lần kết nối thứ hai.

Hãy kiểm tra trường hợp thất bại riêng nếu bạn cần. Đường hầm chặn IPv6 khi sập và đường hầm để nó rò rỉ là hai thiết kế khác nhau, và chỉ một trong hai có thể được xác nhận bằng một yêu cầu thành công.

Bước 5: ghi lại điều bài kiểm tra không chứng minh

Bước thứ năm là ghi lại điều bài kiểm tra không chứng minh, và đây chính là phần thường bị bỏ qua. Một bài kiểm tra thành công tới điểm cuối riêng tư không chứng minh lối ra IPv6 công cộng, không chứng minh hành vi DNS và không bao phủ các ứng dụng bạn đã loại trừ khỏi đường hầm. Mỗi điều đó cần đích riêng và quan sát riêng. Một ghi chú nói rằng IPv6 hoạt động sau một yêu cầu tới một máy chủ không phải là phát hiện; đó là phỏng đoán kèm dấu thời gian.

Bản ghi đáng giữ thì ngắn: đích, tên, địa chỉ nguồn mà máy chủ đã chọn, địa chỉ xa quan sát được và thời điểm. RFC 7359 thảo luận cách kiểm tra một tuyến IPv6 liên quan có thực sự dùng được, và đó là tiêu chuẩn mà hướng dẫn này tiến gần bằng công cụ đơn giản hơn. Nếu kết luận cần một trình kiểm tra công cộng mới đúng, thì bài kiểm tra đã không đủ cụ thể.