IPv6-adresse vervang nie jou VPN nie: kyk eers na die oorspronklike taak

Maak die kliënt se statusbladsy oop, sien 'n globale IPv6-adres, en die versoeking is om af te lei dat die tonnel opsioneel geword het. Daardie bladsy wys 'n adres, nie 'n versleutelingsgrens nie, nie 'n private roetertabel nie en nie 'n toegangsbesluit nie. 'n VPN het gewoonlik drie take tegelyk, en IPv6 raak net die een oor die deel van skaars adresse. Om een diens van die kliënt na die luisteraar te volg, is die enigste manier om te sien watter taak die verandering oorleef.

Benoem die taak voordat jy die hulpmiddel verwyder

Mense sê “die VPN” wanneer hulle een van drie reëlings bedoel, en die drie misluk om verskillende redes. Om een toepassing te bereik wat een span publiseer, is 'n toepassingstoegang-probleem. Om by 'n bepaalde stel private netwerke aan te sluit sodat verskeie persele mekaar kan bereik, is 'n roeteringsverhouding. Om 'n stabiele administratiewe oorlaag te hou oor infrastruktuur wat jy nie heeltemal beheer nie, is 'n bedryfsreëling met sy eie adresplan.

IPv6 verwyder 'n adresdelingshindernis vir die eerste reëling, en daar doen dit werklike werk, want 'n direkte adres kan 'n vertaler vervang. Vir die ander twee verander dit niks, want die vereiste was nooit adresskaarsheid nie. Skryf neer watter van die drie jy werklik bedryf voordat jy aan 'n konfigurasie raak.

'n Openbare adres is nie versleuteling nie

'n Adres met globale strekking sê waar 'n gasheer bereik kan word; dit sê niks oor of die verkeer wat daar aankom, versleutel of geauthentiseer is nie. RFC 8504 se sekuriteitsbespreking skei IPsec-implementeringsondersteuning van die wyer keuse tussen IPsec, TLS, SSH en ander benaderings, en dit is juis die onderskeid wat verdwyn wanneer bereikbaarheid as beskerming gelees word. 'n Stapel wat 'n meganisme ondersteun, het net bewys dat die meganisme beskikbaar is, nooit dat hierdie vloei daardeur gegaan het nie. Vir IPsec spesifiek besluit die onderhandelde assosiasie en die verkeer wat dit kies wat beskerm word, en 'n adresfamilie is 'n eienskap van die pakket, nie 'n beleid daarvoor nie.

Bereikbaarheid is weer 'n aparte vraag. 'n Openbare adres laat nie ongevraagde verkeer aankom nie, want die roete, die vuurmuur en die luisteraar het elkeen 'n stem, en om NAT te verwyder verwyder een filter, nie almal nie. Besluit watter van dié drie die tonnel verteenwoordig het, indien enige.

Wat die oorlaag steeds lewer

'n Oorlaag verdien steeds sy plek in drie situasies. Afgeleë gebruikers het dalk 'n spesifieke stel roetes nodig eerder as een toepassing, twee persele het dalk 'n private bereikbaarheidsooreenkoms nodig, en operateurs wil dalk adressering wat nie verander wanneer die toegangsverskaffer verander nie. Nie een van die drie gaan oor die tekort aan IPv4-adresse nie.

Globale adresse maak dit nie onderhoudvry nie. 'n Netjiese binnepan behou nie die buitenste eindpunt wat antwoord nadat die verskaffer dit verander nie, en verifikasie, heraansluiting en naamopdaterings het steeds 'n eienaar nodig. Besluit hoe dié herstel voordat enigiets afgeskakel word.

Volg die diens wat openbaar word

Begin by die gasheer en lys wat werklik luister, want die toepassing wat jy goedgekeur het, is selde die enigste ding op die masjien. ss -lntup druk elke TCP- en UDP-luisteraar met sy bindadres uit en voeg die eienaarproses by waar jou regte dit toelaat, wat met een oogopslag wys of 'n bestuerskoppelvlak op 'n wildcard-adres of net op loopback sit. Herhaal dit as ss -6 -lntup as jou stapel IPv6-sokke apart hou.

Klassifiseer dan elke lyn volgens gehoor. 'n Toepassingspoort met sy eie verifikasie en vervoersekuriteit mag dalk op 'n openbare adres reg wees, terwyl 'n administratiewe koppelvlak, 'n maatstafpunt en 'n databasise poort gewoonlik nie is nie. Een goedgekeurde toepassing is 'n oordeel oor daardie toepassing alleen, nooit toestemming om elke diens op die gasheer bloot te lê nie. Die bindadres op elke lyn sê of die blootstelling al bestaan of deur die verandering wat jy beplan, geskep sou word.

Twee toetse, dan besluit wat om af te skakel

Voordat jy 'n laag verwyder, beantwoord twee vrae op papier. Eerstens, het die vereiste private roetering nodig, dit wil sê bereikbaarheid wat 'n openbare adres nie impliseer nie en wat die toegangsverskaffer nie bied nie? Tweedens, het dit 'n beskermingsgrens nodig, dit wil sê versleuteling en verifikasie op 'n vloei wat andersins 'n onbetroubare pad in die oopte sou kruis? As beide antwoorde nee is vir daardie diens, is die tonnel 'n kandidaat vir verwydering; as enige een ja is, bly dit.

Voer dieselfde toets oor IPv4 en IPv6 afsonderlik uit op 'n dubbelstapel-kliënt want beskermde IPv4-verkeer sê niks oor die IPv6-pad nie. 'n Globale IPv6-adres op 'n statusbladsy is nie bewys van 'n lek nie, en een wat ontbreek is nie bewys van beskerming nie. Skakel net die dienste af waar albei antwoorde neergeskryf is en steeds nee is, en noteer in die veranderingsrekord watter vraag dit besluit het.