عناوين ULA في IPv6 داخل VPN: عنونة خاصة وليست خصوصية

العناوين التي تبدو خاصة ليست خاصة بالمعنى الذي يقصده معظم الناس، والعنونة المحلية الفريدة في IPv6 هي أوضح حالة. تمنح بادئة ULA شبكة VPN خطة داخلية مستقرة للموارد الكائنة خلفها. وهي لا تشفّر شيئًا، ولا تصادق على أي طرف، ولا تقرر الخدمات التي يجوز للعميل الوصول إليها. التعامل مع البادئة على أنها ضابط أمني هو الخطأ الذي بُني هذا المقال لإزالته.

ما توفره البادئة فعليًا

تخصص RFC 4193 النطاق fc00::/7 للاستخدام المحلي، مع تمييز بت L المساحة المخصصة محليًا عن الصيغة المحجوزة. عمليًا، هذا يعني أن fd00::/8 هو ما تُنشئه. تحدد المواصفة أيضًا كيفية اشتقاق المعرّف العالمي ذي 40 بت، حتى لا تختار المواقع المستقلة البادئة نفسها بالخطأ. وقد صُممت تلك المساحة لتبقى خارج الإنترنت العام، وهي خاصية توجيه وليست حماية.

داخل الموقع، يكون التخطيط المعتاد معرّفًا عالميًا /48 مقسّمًا إلى شبكات فرعية: واحدة لعملاء النفق، وواحدة لجانب الخادم، وواحدة لكل شبكة محلية بعيدة. هذا الهيكل هو الفائدة كلها، وهي فائدة في العنونة. كل حزمة لا تزال تحتاج إلى مسار، ولا تزال تحتاج إلى سياسة تسمح بها.

الخلط بين البادئة والنفق هو الطريق الذي ينتهي به التصميم إلى توثيق عناوين fd00 والافتراض بأن الحركة بينها محمية. وهي ليست كذلك، ما لم يكن شيء آخر يقوم بالحماية.

لماذا يضرّ نسخ البادئة الواردة في الأمثلة

يستخدم كل درس بادئة سهلة التذكر، وكل قارئ ينسخها يرث خطر التعارض نفسه. فالموقعان اللذان يتصلان لاحقًا عبر نفق من موقع إلى موقع بنطاقات متطابقة ينتجان بالضبط الالتباس المعروف من تداخل مساحة IPv4 الخاصة. لا أحد الطرفين مخطئ بمفرده، والشبكة المدمجة ليس لديها طريقة لمعرفة الوجهة المقصودة.

إنشاء المعرّف العالمي وفق العملية الموثقة يستغرق دقيقة ويزيل السؤال. سجّل البادئة ومدخلات الإنشاء والتاريخ إلى جانب خطة العناوين.

الخطر ليس نظريًا لمن يدمج الشبكات بعد استحواذ أو يصل مختبرين عبر VPN. وهو أيضًا ليس عاجلًا لموقع واحد، ولهذا يُؤجَّل حتى يكون الدمج مجدولًا بالفعل.

النطاق والوصول سؤالان منفصلان

لا يُقصد بـ ULA أن تكون العنونة العادية للإنترنت الموجّه عالميًا. وهذا لا يجعل كل مضيف يستخدمها موثوقًا، ولا يجعل تلك المضيفين غير قابلين للوصول من الشبكات الخاصة المتصلة الأخرى. لا تزال جدران الحماية وأذونات التطبيقات تقرر ما يجوز للطرف استخدامه، ولا يزال النفق يوفر المصادقة التي ضُبط بها.

يحتاج مخرج الإنترنت إلى تصميم خروج IPv6 خاص به. إن إسناد عنوان ULA إلى عميل لا ينشئ وصولًا إلى وجهات عالمية عشوائية، ولا ينبغي توقع أن يتصفح العميل الذي يحصل على واحد منها الإنترنت العام عبره.

لا يزال الموقعان ذوا البادئتين المختلفتين بحاجة إلى مسارات عودة لنطاقات بعضهما، ويحتاج كلا جدارَي الحماية إلى قواعد متطابقة. لا شيء من ذلك يتبع من عائلة العناوين. ما يتبع هو عمل توثيقي: جدول بالبادئات والأنظمة المسموح لها بالرد على كل منها.

تحقق من الخطة على كلا الطرفين

تأكد من ظهور البادئة حيث تعتقد أنها تظهر، ثم تأكد من أن وجهة ما قابلة للوصول فعليًا عبرها.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

تُظهر قائمة العناوين أي واجهة تحمل أي شبكة فرعية، والعميل الذي استلم الشبكة الخطأ يُظهر ذلك عادةً هنا. تُظهر قائمة المسارات ما إذا كانت البادئة البعيدة لها مسار عبر النفق بدلًا من أن تُسقط. ويجيب الفحص على السؤال الوحيد المهم، وهو ما إذا كانت الحزمة تكمل رحلة الذهاب والعودة.

أعد الفحص بعد إعادة الاتصال، لأن العميل الذي يحتفظ بعنوانه ويفقد المسار ينتج اتصالًا يبدو صاعدًا ولا يمرر شيئًا. العنوان هو الجزء السهل، والمسار هو ما يختفي. احفظ كلا المخرجات بجانب اسم ملف تعريف الاتصال حتى تبدأ المقارنة التالية من دليل.