IPv6 จะเปิดเผยตัวคุณหรือไม่ การตรวจหา IP ที่รั่วไหลในเครือข่าย Dual Stack

ข้อสรุปหลัก: ต่อพร็อกซี IPv4 แล้วไม่ได้แปลว่าทราฟฟิกทุกเส้นวิ่งผ่านพร็อกซี ในเครือข่าย dual stack IPv6 อาจลัดพร็อกซีไปเชื่อมต่อเครือข่ายภายในตรง ๆ เมื่อหน้าตรวจสอบแสดงที่อยู่ IPv6 ให้ดูก่อนว่าที่อยู่ปลายทางเป็นของใคร แล้วจึงตัดสินว่ารั่วไหลหรือไม่ หลายคนคงเคยเจอสถานการณ์แบบนี้ หน้าตรวจสอบแสดงว่า IPv4 เปลี่ยนไปเป็นที่อยู่พร็อกซีแล้ว แต่พอเปิดหน้าตรวจที่รองรับ IPv6 กลับมีที่อยู่หน้าตาไม่คุ้นเคยโผล่ขึ้นมาอีกบรรทัด บทความนี้จะอธิบายที่มาของเรื่องนี้ วิธีแยกแยะสามแนวคิด ขั้นตอนการตรวจสอบสี่ขั้น และลำดับการแก้ปัญหาหลังยืนยันว่ารั่วไหลแล้ว ปิดท้ายด้วยวิธียืนยันที่อยู่ปลายทางภายในสภาพแวดล้อมของ MostMate

ทำไมต่อพร็อกซี IPv4 แล้วยังเจอที่อยู่ IPv6

เครือข่าย dual stack คืออุปกรณ์ที่มีทั้งที่อยู่และเส้นทางของ IPv4 กับ IPv6 พร้อมกัน เข้าอินเทอร์เน็ตได้ผ่านสองเส้นทาง วันนี้บรอดแบนด์และเครือข่ายมือถือส่วนใหญ่เป็น dual stack มาแต่ต้น โมเด็มและเราเตอร์แจกที่อยู่ IPv4 ให้อุปกรณ์ไปพร้อมกับมอบ IPv6 สาธารณะหนึ่งเส้น ความสัมพันธ์ระหว่างพร็อกซีกับ IPv6 ตามมาตรฐาน IPv6 (RFC 8200) คือสองช่องทางที่เป็นอิสระจากกัน พร็อกซีจะดูแลช่องไหนไม่ดูแลช่องไหน ขึ้นอยู่กับการตั้งค่า

กรณีที่พร็อกซีครอบคลุมแค่ IPv4 พบได้บ่อย ดังนี้:

• เซิร์ฟเวอร์พร็อกซีมีแต่ที่อยู่ IPv4 ไม่รองรับปลายทาง IPv6.
• การ์ดเครือข่ายเสมือนของโปรแกรมพร็อกซีจัดการเส้นทาง IPv4 เท่านั้น เส้นทาง default ของ IPv6 ยังชี้ไปที่เกตเวย์ภายใน.
• กฎการแยกเส้นทางจับเฉพาะช่วงที่อยู่ IPv4.
• บางแอปไม่อ่านพร็อกซีของระบบ แล้วเชื่อมต่อตรงเอง.

ฝั่งเบราว์เซอร์ยังมีกลไก "เลือกทางที่ไวกว่า" (Happy Eyeballs) เมื่อหน้าเว็บ resolve ได้ทั้ง A record และ AAAA record เบราว์เซอร์จะลองสองเส้นทางพร้อมกัน เส้นไหนต่อสำเร็จก่อนใช้เส้นนั้น คำขอในเซสชันเดียวกันจึงอาจบางส่วนวิ่งผ่านพร็อกซี IPv4 บางส่วนวิ่งออก IPv6 ภายในบ้าน และผลอาจไม่เหมือนกันทุกครั้ง อีกจุดที่ต้องระวังคือ DNS ตอบ AAAA record กลับมาแค่บอกว่าโดเมนมีที่อยู่ IPv6 ไม่ได้แปลว่าเบราว์เซอร์จะเดินทางเส้น IPv6 เสมอไป

เจอ IPv6 แล้วถือว่ารั่วไหลหรือไม่

การตรวจพบที่อยู่ IPv6 กับ IP จริงถูกเปิดเผยเป็นสองเรื่อง คั่นกันด้วยคำถามว่าที่อยู่ปลายทางเป็นของใคร แยกสามแนวคิดออกจากกัน:

• ตรวจพบ IPv6: บอกแค่ว่าการเชื่อมต่อรอบนี้เดินเส้น IPv6 ตัวมันเองไม่ใช่ปัญหา.
• ไม่ผ่านพร็อกซีตามที่คาด: ที่อยู่ปลายทาง IPv6 ไม่ใช่ที่อยู่ที่พร็อกซีแจก แปลว่าพร็อกซีไม่ครอบคลุมช่องทางนี้ มีเส้นทางลัดเกิดขึ้นจริง ต้องจัดการ.
• IP จริงถูกเปิดเผย: ที่อยู่ปลายทาง IPv6 เป็นของผู้ให้บริการบรอดแบนด์ที่บ้าน ภูมิภาคไม่ตรงกับที่ตั้งพร็อกซี รั่วไหลชัดเจน.

เกณฑ์ตัดสินมีเส้นเดียว: ดูว่าผู้ให้บริการและภูมิภาคของที่อยู่ IPv6 นี้ตรงกับพร็อกซีหรือไม่ ตรงกัน แปลว่าพร็อกซีเองมีทางออก IPv6 ถือว่าปกติ ไม่ตรงกันและชี้ไปที่ผู้ให้บริการที่บ้าน นั่นคือเส้นทางลัด มีสองจุดที่ห้ามตีความผิด ที่อยู่ที่ขึ้นต้นด้วย fe80 เป็นที่อยู่ link-local ใช้ได้เฉพาะในเครือข่ายท้องถิ่น ไม่นับเป็นการเปิดเผยสาธารณะ และผลทดสอบครั้งเดียวได้รับอิทธิพลจากแคชเบราว์เซอร์ ส่วนเสริม และตรรกะของหน้าตรวจ อย่าสรุปเด็ดขาดจากผลครั้งเดียว

ตรวจสอบสี่ขั้น ยืนยันว่ามีเส้นทางลัดหรือไม่

สิ่งที่การตรวจต้องยืนยันคือที่อยู่ปลายทางของ IPv6 เป็นของใคร แค่เห็นที่อยู่บนหน้าเว็บไม่ต้องตกใจ ไล่ทำสี่ขั้นตามลำดับ:

1. ยืนยันว่าเครื่องมี IPv6 สาธารณะหรือไม่ ปิดพร็อกซีแล้วเปิด test-ipv6.com ดูผล ได้ IPv6 สาธารณะแปลว่ามีเงื่อนไขให้เกิดเส้นทางลัด ถ้ามีแต่ link-local หรือไม่รองรับเลย เส้นทางลัดไม่มีทางเกิด ขั้นถัดไปข้ามได้.
2. ต่อพร็อกซี แล้วจดที่อยู่ปลายทางของ IPv4 กับ IPv6 แยกกัน เทียบผู้ให้บริการและภูมิภาคของสองที่อยู่บนหน้าตรวจ IPv4 เป็นพร็อกซี ส่วน IPv6 เป็นผู้ให้บริการที่บ้าน เส้นทางลัดยืนยันแล้ว.
3. ดูรายการ DNS และ WebRTC ประกอบด้วย สองรายการนี้เปิดเผยเส้นทางการ resolve และข้อมูลเครือข่ายภายใน เอามาวางเทียบกับที่อยู่ปลายทาง IPv6 หน้าเครือข่ายที่เปิดเผยได้ก็ครบแล้ว วิธีอ่านค่า WebRTC แบบละเอียดเขียนไว้ในคู่มือคะแนนความน่าเชื่อถือ Iphey.
4. เปลี่ยนเงื่อนไขแล้วทดซ้ำ สลับพร็อกซีหรือเปลี่ยนเครือข่าย แล้วทำสองขั้นแรกใหม่ เส้นทางลัดจะเกิดหรือไม่ขึ้นกับสภาพเครือข่าย ผลจากจุดเดียวสรุปไปถึงที่อื่นไม่ได้.

ยืนยันเส้นทางลัดแล้ว ไล่แก้ตามลำดับนี้

ลำดับการแก้เริ่มจากฝั่งพร็อกซีไปหาฝั่งระบบ แต่ละขั้นมีสิ่งที่ต้องเช็กชัดเจน:

1. เช็กช่วงโปรโตคอลของพร็อกซี ถามผู้ให้บริการว่าแพ็กเกจมีทางออก IPv6 หรือไม่ การ forward ครอบคลุมปลายทาง IPv6 หรือเปล่า พร็อกซีจำนวนมากมีแต่ IPv4 นี่คือที่มาที่พบบ่อยที่สุดของเส้นทางลัด.
2. เช็กการตั้งค่า IPv6 ของระบบและเบราว์เซอร์ ดูสถานะเปิดใช้ IPv6 ในการตั้งค่าเครือข่ายของระบบ และว่าเบราว์เซอร์มีพร็อกซีหรือ DNS ด้านความปลอดภัยตั้งไว้เองจนลัดผ่านโปรแกรมพร็อกซีหรือไม่.
3. จัดการตามความจำเป็น เลือกหนึ่งจากสามทาง: เปลี่ยนไปใช้พร็อกซีที่รองรับ dual stack ปรับเส้นทางระดับเครือข่ายให้ IPv6 เดินผ่านพร็อกซีด้วย หรือจำกัด IPv6 หลังชั่งผลกระทบต่องานแล้ว การจำกัด IPv6 ปิดเส้นทางลัดได้จริง แต่บางเครือข่ายและบริการจะกระทบ ควรทดในวงแคบก่อนค่อยขยาย ไม่ใช่คำตอบมาตรฐาน.
4. ปรับแล้วทดซ้ำ กลับไปทำการตรวจสี่ขั้นในหัวข้อก่อนอีกรอบ ยืนยันว่าที่อยู่ปลายทาง IPv6 ตรงกับพร็อกซีแล้ว จึงกลับไปใช้งานปกติ.

ยืนยันที่อยู่ปลายทางเครือข่ายภายในสภาพแวดล้อมของ MostMate

MostMate คือเบราว์เซอร์ลายนิ้วมือ ภาพรวมผลิตภัณฑ์ดูได้จากMostMate คืออะไร ในเรื่อง IPv6 หน้าที่ของมันคือการตั้งค่าและยืนยันในระดับสภาพแวดล้อม ใช้คู่กับขั้นตอนตรวจสอบข้างบน:

• จัดการพร็อกซีแยกต่างหาก แจกตามสภาพแวดล้อม พร็อกซีสร้างหรือนำเข้าในรายการพร็อกซีก่อน แล้วจึงแจกให้สภาพแวดล้อม บันทึกแล้วใช้ฟังก์ชันทดสอบยืนยัน IP ปลายทาง ที่มาของการตั้งค่ากับที่อยู่ปลายทางจริงตรวจแยกจากกัน.

• ดูที่อยู่ปลายทางจริงจากในสภาพแวดล้อม ไม่ใช่แค่ดูหน้าตั้งค่า กรอกพร็อกซีแล้วไม่ได้แปลว่าทราฟฟิกเดินตาม เปิดหน้าตรวจภายในสภาพแวดล้อมนั้น เทียบสองบรรทัด IPv4 กับ IPv6 ที่อยู่ปลายทางให้ยึดตามผลการเข้าถึงจริง ตรรกะของขอบเขตการแยกสภาพแวดล้อม แยกไว้ครบในบทความการแยกสภาพแวดล้อมคืออะไร.
• เช็กระดับ WebRTC ประกอบด้วย ที่อยู่เครือข่ายที่ WebRTC หาได้ไม่เดินผ่านช่องทาง HTTP proxy ตั้งเป็น Disabled หรือ Custom ภายในสภาพแวดล้อมได้ ช่วยตัดเส้นทางเปิดเผยข้อมูลเครือข่ายออกไปหนึ่งทาง.
• เปลี่ยนพร็อกซีหรือเปลี่ยนเครือข่ายแล้วยืนยันใหม่ การแก้การตั้งค่าทำให้ผลตรวจเดิมหมดอายุ รันการตรวจสี่ขั้นใหม่อีกรอบก่อนนำไปใช้งาน.

มีขอบเขตหนึ่งต้องพูดให้ชัด การแยกสภาพแวดล้อมกับการจัดการค่าลายนิ้วมือดูแลข้อมูลและพารามิเตอร์ตัวตน ส่วนจะเดิน IPv6 ระดับเครือข่ายหรือไม่ขึ้นอยู่กับความสามารถของพร็อกซีและเส้นทางของระบบ เมื่อพร็อกซีเองไม่รองรับ IPv6 ต้องแก้ที่ฝั่งพร็อกซีหรือระดับเครือข่าย การตั้งค่าสภาพแวดล้อมรองรับส่วนนี้ไม่ได้ ขั้นตอนสร้างและตั้งค่าสภาพแวดล้อมเขียนไว้ในบทความเริ่มต้นกับ MostMate อย่างไร

คำถามที่พบบ่อย

ใช้พร็อกซี IPv4 อยู่ ต้องสนใจ IPv6 ด้วยไหม

ต้องดูถ้าเครื่องมี IPv6 สาธารณะ ในเครือข่าย dual stack IPv6 อาจลัดพร็อกซี IPv4 ไปเชื่อมต่อตรง จะเป็นเส้นทางลัดหรือไม่ให้ดูที่ที่อยู่ปลายทาง ถ้าเครื่องไม่มี IPv6 สาธารณะ ช่องทางนี้ไม่มีอยู่ ยังไม่ต้องจัดการ.

จะรู้ได้อย่างไรว่า IPv6 ที่ตรวจพบเป็นของพร็อกซีหรือของจริง

ดูผู้ให้บริการและภูมิภาคของที่อยู่ ตรงกับทางออกของพร็อกซี คือ IPv6 ของพร็อกซี ชี้ไปที่ผู้ให้บริการบรอดแบนด์ที่บ้านและภูมิภาคไม่ตรง นั่นคือที่อยู่ของเครื่องกำลังเชื่อมต่อตรง.

ปิด IPv6 ทิ้งแล้วหมดปัญหาหรือไม่

ปิดเส้นทางลัดได้จริง แต่กระทบการเชื่อมต่อบางเว็บไซต์และบริการ และแก้ปัญหาที่ตัวพร็อกซีไม่ได้ ควรพิจารณาเปลี่ยนไปใช้พร็อกซีที่รองรับ dual stack หรือปรับเส้นทางก่อน ถ้าจำเป็นต้องจำกัด IPv6 จริง ทดในวงแคบก่อนว่างานไม่กระทบ.

เบราว์เซอร์ลายนิ้วมือกัน IPv6 รั่วไหลได้หรือไม่

สรุปแบบนั้นไม่ได้ เบราว์เซอร์ลายนิ้วมือดูแลความสอดคล้องของข้อมูลสภาพแวดล้อมและพารามิเตอร์ตัวตน ที่อยู่ปลายทางระดับเครือข่ายกำหนดด้วยพร็อกซีและเส้นทางของระบบ หลังตั้งค่าเสร็จให้เปิดหน้าตรวจภายในสภาพแวดล้อมเพื่อยืนยันที่อยู่ปลายทางจริง และยึดตามผลที่ยืนยันได้.

บทสรุป

หัวใจของการรั่วไหลของ IPv6 อยู่ที่ที่อยู่ปลายทาง ยืนยันก่อนว่าเครื่องมี IPv6 สาธารณะหรือไม่ เทียบที่อยู่ปลายทางเพื่อตัดสินเส้นทางลัด แล้วจัดการที่ฝั่งพร็อกซีและระดับเครือข่าย ใครดูแลหลายบัญชี ดาวน์โหลด MostMate สร้างสภาพแวดล้อมเสร็จแล้ว ยืนยันที่อยู่ปลายทางจริงของแต่ละสภาพแวดล้อมให้ครบก่อนนำไปใช้งาน.