Vì sao địa chỉ IPv6 của bạn thay đổi trong khi VPN vẫn hoạt động

Hai ảnh chụp màn hình cách nhau một giờ cho thấy các địa chỉ nguồn IPv6 khác nhau, và cách đọc hiển nhiên là đường hầm bị rò hoặc đã kết nối lại. Thường thì không cái nào xảy ra. Máy chủ đang dùng địa chỉ tạm thời, một tính năng riêng tư của hệ điều hành luân chuyển định danh giao diện theo bộ hẹn giờ. Việc so sánh có vẻ dứt khoát chỉ vì nó giả định một trường chưa bao giờ ổn định.

Địa chỉ tạm thời thực sự luân chuyển điều gì

Địa chỉ tạm thời được tạo từ tiền tố của giao diện cộng với một định danh mà máy chủ thay đổi, và nó mang thời gian sống ưu tiên cùng thời gian sống hợp lệ. Trước khi thời gian hợp lệ hết, máy chủ tạo một địa chỉ thay thế, nên hai kết nối có thể hợp lệ đi ra từ các nguồn khác nhau. Địa chỉ liên kết cục bộ và bản thân tiền tố vẫn giữ nguyên, và đó là cách mạng vẫn nhận ra máy.

Không có gì trong việc luân chuyển đó làm một tài khoản, cookie hay mẫu duyệt web trở nên ẩn danh. Một trang muốn nhận ra bạn có cookie, đăng nhập và dấu vân tay, và địa chỉ nguồn thay đổi gần như không được tính so với chúng. Luân chuyển thay đổi một trường trong tiêu đề gói, và trường đó chưa bao giờ là định danh duy nhất trên đường đi.

Trang web thấy một địa chỉ, máy chủ giữ nhiều địa chỉ

Máy chủ ghi lại nguồn của yêu cầu mà nó nhận được, không hơn. Máy chủ có thể giữ nhiều địa chỉ với phạm vi và thời gian sống khác nhau, và địa chỉ nào thắng phụ thuộc vào quy tắc chọn địa chỉ và vào đích. Đọc giá trị của trang web như địa chỉ của máy chính là nơi sự nhầm lẫn này bắt đầu. Một máy chủ có thể trông như hai máy với hai trang trong cùng một thời điểm, chỉ vì mỗi kết nối chọn một địa chỉ khác.

Hãy xem giao diện trong lúc kiểm tra bằng ip -6 addr show dev eth0: nhiều địa chỉ cùng thời gian sống của chúng nghĩa là luân chuyển có mặt theo thiết kế. Sau đó hỏi nhân hệ điều hành sẽ dùng tuyến nào bằng ip -6 route get 2001:db8:10::5, lệnh này in ra thiết bị và nguồn ưu tiên cho đích đó.

So sánh tiền tố, giao diện và tuyến đường, không phải chuỗi

Trong kiểm tra VPN, câu hỏi là gói đã đi ra qua đường hầm hay chưa, và đó là câu hỏi về định tuyến và chính sách. Địa chỉ nguồn là chỉ dấu yếu cho điều đó: một địa chỉ luân chuyển trên giao diện đường hầm vẫn nằm trên đường hầm. Một đường hầm kết nối lại thường dịch chuyển tiền tố hoặc thiết bị thay vào đó, và những thay đổi ấy thấy được mà không cần đọc toàn bộ địa chỉ.

Vì vậy hãy so sánh tuyến đã chọn, giao diện mà gói đi ra và tiền tố mà nó mang. Ba thứ này giữ đủ ổn định giữa các lần chạy, và mỗi thứ mang nghĩa khác khi nó thay đổi.

Thay đổi là quan trọng khi tiền tố thay đổi, khi giao diện thay đổi, hoặc khi tuyến tới đích không còn dùng đường hầm. Thay đổi chỉ ở định danh giao diện, với cùng tiền tố và cùng thiết bị, là hành vi riêng tư đang chạy đúng như dự định. Nếu chỉ định danh dịch chuyển, bài kiểm tra đã đo bộ hẹn giờ riêng tư chứ không phải độ phủ. Hãy ghi lại cái nào trong ba thứ đã dịch chuyển trước khi đổ lỗi cho đường hầm.

Đừng tắt IPv6 để các ảnh chụp khớp nhau

Tắt IPv6 làm các bài kiểm tra lặp lại khớp nhau, và nó cũng loại bỏ cả một họ địa chỉ khỏi mạng mà đường hầm của bạn phải phủ. Khi chính sách là mang IPv6, việc tắt nó che đi một lỗ hổng độ phủ thay vì lấp lại.

Nếu chính sách là chặn IPv6 cho tới khi nó được hỗ trợ, hãy chặn một cách có chủ ý và ghi lại quyết định. Người quản trị tiếp theo cần thấy sự khác biệt giữa một lệnh chặn có tài liệu và một ngăn xếp bị tắt.

Cần ghi gì, và một bài kiểm tra có thể chứng minh điều gì

Ghi lại tiền tố, tên giao diện, tuyến đã chọn, đích và dấu thời gian, kèm toàn bộ địa chỉ bên cạnh. Đặc tả địa chỉ tạm thời giải thích các thời gian sống điều khiển việc luân chuyển, vì thế toàn bộ địa chỉ là trường kém ổn định nhất trong ghi chú. Hai trong ba trường ổn định khớp nhau giữa các lần chạy là bằng chứng mạnh hơn bất kỳ một lần khớp địa chỉ nào.

Một bài kiểm tra là một quan sát của một yêu cầu. Ghi chú là thứ biến quan sát tiếp theo thành một phép so sánh. Giữ cả hai, và lần khác biệt tiếp theo chỉ tốn một cái nhìn thay vì cả buổi chiều.