VPN của bạn có mang IPv6, hay chỉ đến được máy chủ?

Một bài kiểm tra rò rỉ chỉ cho IPv4 trở về sạch, một bài kiểm tra IPv6 hiển thị địa chỉ nhà của bạn, và đường hầm được kết nối trên danh nghĩa. Sự kết hợp đó thường gặp trên các mạng dual-stack, vì VPN đã thay đổi đường đi của một họ địa chỉ và để họ kia yên. Đường hầm bên ngoài và lưu lượng bên trong nó là hai quyết định định địa chỉ riêng biệt. Kiểm tra một cái không nói gì về cái còn lại.

Hãy kiểm tra cả những gì ứng dụng khách báo cáo và họ địa chỉ mà yêu cầu thực sự đã dùng, vì một tên máy chủ có thể trả về cả hai loại câu trả lời.

Hai họ địa chỉ, hai đường đi khác nhau

Hệ điều hành giữ một bảng định tuyến cho mỗi họ địa chỉ. Cài đặt tuyến mặc định cho IPv4 không cài đặt tuyến đó cho IPv6, và một điểm cuối đường hầm truy cập được qua IPv4 không nói gì về việc lưu lượng IPv6 có đi vào đó hay không. Khi không có tuyến mặc định IPv6 qua đường hầm, máy chủ dùng bất kỳ đường IPv6 nào nó có, và đó thường là liên kết vật lý. Từ góc nhìn của ứng dụng, kết nối chỉ đơn giản là trực tiếp.

Một tên máy chủ trả về cả bản ghi A lẫn AAAA khiến điều này khó thấy hơn, vì các ứng dụng có thể thử hai họ theo thứ tự khác nhau. Một yêu cầu thành công không chứng minh nó đã đi theo đường nào. Hãy dùng một bài kiểm tra nêu rõ họ địa chỉ mà nó đã thử.

Đến được máy chủ không phải là mang lưu lượng

Các nhà cung cấp dùng cụm từ hỗ trợ IPv6 cho vài khả năng khác nhau. Điểm cuối có thể chấp nhận kết nối qua IPv6 trong khi đường hầm vẫn chỉ mang IPv4. Đường hầm có thể mang các gói bên trong là IPv6 trong khi vận chuyển bên ngoài vẫn là IPv4. Hoặc ứng dụng khách có thể chặn hoàn toàn IPv6 để không có gì thoát ra ngoài đường hầm. Đó là ba hành vi khác nhau, và một trang chỉ nói rằng IPv6 được hỗ trợ không phân biệt chúng.

Hãy hỏi thiết kế cần cái nào. Một mạng phải đến được các dịch vụ chỉ có IPv6 thì cần việc mang. Một mạng phải ngăn lưu lượng IPv6 trực tiếp thì cần chặn hoặc mang đầy đủ, không phải một nhãn trên trang tiếp thị.

Chọn giữa mang và chặn

Mang nghĩa là đường hầm có địa chỉ IPv6, có tuyến mặc định bên trong và có chính sách cho phép lưu lượng ở cả hai đầu. Chặn nghĩa là ứng dụng khách cố ý ngăn IPv6 ra ngoài đường hầm, điều này an toàn và vô dụng để đến các đích IPv6. Cả hai đều chính đáng; không cái nào là mặc định mà bạn có thể giả định. Hãy chọn yêu cầu trước, rồi xác minh rằng ứng dụng khách thực sự triển khai nó.

Một mạng khách chỉ có IPv4 không thể thử một đường IPv6, nên một bài kiểm tra làm ở đó không nói gì về mạng nhà nơi cả hai họ tồn tại. Hãy kiểm tra ở nơi họ địa chỉ liên quan thực sự được cung cấp.

Công tắc an toàn cần cùng phạm vi bao phủ

Một công tắc an toàn chỉ bao phủ IPv4 để họ kia tự do ra ngoài trực tiếp, và đó chính là rò rỉ mà nó phải ngăn. Hãy xem lại các quy tắc của nó cho cả hai họ và cho những thời điểm chuyển tiếp, khi đường hầm đang lên hoặc xuống. Tắt IPv6 trên toàn hệ thống không phải là thay thế: nó có thể làm hỏng các dịch vụ không liên quan và che giấu một vấn đề chính sách của ứng dụng khách sau một thay đổi toàn máy.

Hãy giữ DNS tách khỏi tất cả những điều này. DNS liên quan đến việc ai trả lời truy vấn và truy vấn đi lại như thế nào; kết nối ứng dụng theo sau có đường đi riêng của nó. Một cái có thể đúng trong khi cái kia không, và chẩn đoán chúng cùng nhau tạo ra kết luận lẫn lộn.

Hãy ghi lại bài kiểm tra nào đã thử họ nào và ứng dụng khách tuyên bố khả năng gì. Cặp sự thật đó trả lời câu hỏi mà một nhãn hỗ trợ sẽ không bao giờ trả lời.