IPv6-ULA in 'n VPN: private adressering, nie privaatheid nie

Privaat-lykende adresse is nie privaat in die sin wat meeste mense bedoel nie, en IPv6 se uniek-plaaslike adressering is die duidelikste geval. 'n ULA-voorvoegsel gee 'n VPN 'n stabiele interne plan vir hulpbronne daaragter. Dit enkripteer niks, verifieer nie 'n eweknie nie, en besluit nie watter dienste 'n kliënt mag bereik nie. Om die voorvoegsel as 'n sekuriteitsbeheer te behandel, is die fout wat hierdie artikel wil verwyder.

Wat die voorvoegsel werklik bied

RFC 4193 hou fc00::/7 vir plaaslike gebruik opsy, met die L-bietjie wat plaaslik toegewysde ruimte van die gereserveerde vorm onderskei. In die praktyk beteken dit fd00::/8 is wat jy genereer. Die spesifikasie definieer ook hoe die 40-bietjie globale ID afgelei moet word, sodat onafhanklike terreine nie per ongeluk dieselfde voorvoegsel kies nie. Daardie ruimte is ontwerp om van die publieke internet af te bly, wat 'n roeteringseienskap is eerder as 'n beskerming.

Binne 'n terrein is die gewone uitleg 'n /48 globale ID wat in subnetwerke verdeel word: een vir tonnelkliënte, een vir die bedienerkant, een vir elke afgeleë LAN. Daardie struktuur is die hele voordeel, en dit is 'n adresseringsvoordeel. Elke pakket het steeds 'n roete nodig en het steeds 'n beleid nodig wat dit toelaat.

Om die voorvoegsel met 'n tonnel te verwar, is hoe 'n ontwerp uiteindelik fd00-adresse dokumenteer en aanneem die verkeer tussen hulle is beskerm. Dit is nie, tensy iets anders die beskerming doen nie.

Waarom dit byt om die voorbeeldvoorvoegsel te kopieer

Elke handleiding gebruik 'n gedenkwaardige voorvoegsel, en elke leser wat dit kopieer, erf dieselfde botsingsrisiko. Twee terreine wat later oor 'n werf-tot-werf-tonnel met identiese reekse verbind, produseer presies die dubbelsinnigheid wat bekend is uit oorvleuelende private IPv4-ruimte. Geen kant is op sigself verkeerd nie, en die gekombineerde netwerk het geen manier om te sê watter bestemming bedoel word nie.

Om die globale ID volgens die gedokumenteerde proses te genereer, neem 'n minuut en verwyder die vraag. Teken die voorvoegsel, die genereringsinvoer en die datum aan langs die adresplan.

Die risiko is nie teoreties vir enigiemand wat netwerke ná 'n verkryging saamvoeg of twee laboratoriums oor 'n VPN verbind nie. Dit is ook nie dringend vir 'n enkele terrein nie, daarom word dit uitgestel tot die samesmelting reeds geskeduleer is.

Omvang en toegang is aparte vrae

ULA is nie bedoel vir gewone wêreldwyd-geroeteerde internetadressering nie. Dit maak nie elke gasheer wat dit gebruik vertrou nie, en dit maak daardie gashere nie onbereikbaar vanaf ander gekoppelde private netwerke nie. Firewalls en toepassingstoestemmings besluit steeds wat 'n eweknie mag gebruik, en die tonnel lewer steeds die verifikasie waarmee dit opgestel is.

'n Internetuitgang het sy eie IPv6-uitgangsontwerp nodig. Om 'n ULA-adres aan 'n kliënt toe te wys, skep nie toegang tot willekeurige globale bestemmings nie, en daar moet nie van 'n kliënt wat een ontvang verwag word om oor dit op die publieke internet te blaai nie.

Twee terreine met verskillende voorvoegsels het steeds terugroetes vir mekaar se reekse nodig, en beide firewalls het passende reëls nodig. Niks daarvan volg uit die adresfamilie nie. Wat volg, is dokumentasiewerk: 'n tabel van voorvoegsels en die stelsels wat op elkeen mag antwoord.

Kontroleer die plan op beide eindpunte

Bevestig die voorvoegsel verskyn waar jy dink dit doen, en bevestig dan dat 'n bestemming werklik daaroor bereikbaar is.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Die adreslys wys watter koppelvlak watter subnet het, en 'n kliënt wat die verkeerde een ontvang het, wys dit gewoonlik hier. Die roetelys wys of die afgeleë voorvoegsel 'n pad deur die tonnel het in plaas daarvan om laat val te word. Die toets beantwoord die enigste vraag wat saak maak, naamlik of 'n pakket die retoerrit maak.

Herhaal die kontrole ná 'n herverbinding, want 'n kliënt wat sy adres behou maar die roete verloor, produseer 'n verbinding wat opkyk en niks aanstuur nie. Die adres is die maklike deel, en die roete is wat verdwyn. Stoor beide uitsette langs die verbindingsprofiel se naam sodat die volgende vergelyking van bewyse begin.