IPv6 məxfilik ünvanları yoxsa RDP icazə siyahısı: güzəşti seçin

Uzaq iş masası girişi bir ay işlədi, sonra icazə siyahısı heç kimin görə bilmədiyi bir səbəbdən uyğunlaşmağı dayandırdı. Host yerini dəyişməmişdi və firewall-da heç nə redaktə edilməmişdi. Windows təsadüfi interfeys identifikatorları ilə IPv6 müvəqqəti ünvanları yaratmağa və onları ləğv etməyə davam edir, buna görə serverin hər hansı gündə gördüyü mənbə ünvanı qaydaya heç kimin yazmadığı ünvan ola bilər. Bu davranışı söndürmək uyğunluğu düzəldir və eyni zamanda hostu uzunömürlü identifikatora çevirir. İkinci yarısını qəbul etməzdən əvvəl alternativləri çəkin.

Qayda niyə uyğunlaşmağı dayandırdı

RFC 4941 müvəqqəti ünvanları təsvir edir: host təsadüfiləşdirilmiş identifikatorlarla əlavə ünvanlar yaradır və onları köhnədir, bu da müşahidəçinin bir hostu ziyarətlər boyunca əlaqələndirməsinin qarşısını alır. Windows bu davranışı tətbiq edir, buna görə dünənki mənbə ünvanı mütləq bugünkü deyil. Proqnozlaşdırıla bilən ünvan hələ də interfeysdə mövcuddur; sadəcə olaraq gedən bağlantının üstünlük verdiyi ünvan deyil.

Buna görə nasazlıq tam deyil, fasiləli görünür. Qayda ünvan yaradıldıqdan bir müddət sonra uyğunlaşır, ünvan ləğv edildikdən sonra uyğunlaşmağı dayandırır və kimsə onu redaktə etdikdən sonra yenidən uyğunlaşmağa başlayır. Mənbə ünvanına görə qruplaşdırılmış monitorinq və host ünvanına bağlanmış lisenziya yoxlamaları eyni cədvəldə pozulur. Redaktədən dərhal sonra işləyən və üç həftə sonra uğursuz olan qayda adətən budur, firewall-un yenidən yüklənməsi deyil.

Birinci seçim: bir sabit ünvan, daha az məxfilik

Adi təmir hostda hər iki fırlanma mexanizmini söndürür: netsh interface ipv6 set privacy state=disabled store=persistent və netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Dəyişikliyin yenidən başlatma gözləmədən qüvvəyə minməsini istəyirsinizsə store=active əlavə edin və identifikatoru artıq şəbəkələr arasında proqnozlaşdırıla bilən etdiyinizi qəbul edin.

Bu proqnozlaşdırıla bilənlik məhz uzantıların qarşısını almaq üçün qurulduğu şeydir. Hostu kafedən ofisə və evə izləyən ünvan rahat filtr açarı və eyni dərəcədə rahat izləmə açarıdır, ikinci xüsusiyyət isə birincini tələb edən biletdən uzun yaşayır.

İkinci seçim: prefiksə və ya ada icazə verin

/64-ə tam ünvan əvəzinə icazə vermək fırlanmanı toxunulmaz saxlayır və daha zəif, lakin çox vaxt dürüst bir iddiaya uyğun gəlir: bu maşın mənim ev şəbəkəmdədir. Bu prefiks qəbul etmədiyiniz hostları ehtiva etdiyi anda kifayət etməyi dayandırır ki, istehlakçı bağlantısında bu adətən insanların düşündüyündən kiçik bir çoxluqdur. Dinamik DNS vasitəsilə yayımlanan ad idarə etmək üçün daha asandır, çünki qeyd hostu izləyir və siyasət hər cihaz əlavə edildikcə böyüyən diapazon kimi deyil, kimlik kimi oxunur.

Hər iki seçim serverin etibar edə biləcəyi bir həlledici və asanlıqla saxtalaşdırıla bilməyən ad tələb edir, ona görə onlara qaydaya kosmetik dəyişiklik kimi deyil, kimliklə bağlı siyasət qərarı kimi yanaşın. Hansı həlledicinin o ada cavab verdiyini yazın, çünki qayda arxasındakı qeyd qədər etibarlıdır.

Üçüncü seçim: ünvanı tunel təyin etsin

Bağlantı sizin nəzarət etdiyiniz VPN-dən keçirsə, server ünvanı öz hovuzundan verə bilər və icazə siyahısı bundan sonra müştərinin üstünlük verdiyi deyil, serverin seçdiyi dəyərə istinad edir. Bu, idarə olunan müştərilər üçün yaxşı, müştərinin üstələyə bildiyi hər şey üçün pis işləyir, ona görə yerləşdirmənizdə hansı tərəfin həqiqətən qazandığını yoxlayın.

Qərarı ünvandan tamamilə ayırmaq, müştəri sertifikatına və ya autentifikasiya olunmuş şlüzə keçmək, miqyaslana bilən seçimdir, çünki əməliyyat sisteminin dəyişməyə haqlı olduğu dəyərdən asılı olmağı dayandırır.

İzləmə xərcini nəzərdə tutaraq seçin

Dörd seçimi faktiki tələbə qarşı yazın və onları birləşdirmək əvəzinə birini seçin. Məxfiliyi hər halda söndürürsünüzsə, onu ehtiyac duyan hostla məhdudlaşdırın, səbəbi qaydanın yanında sənədləşdirin və platforma dəstəkləyirsə RFC 7217-dən sabit məxfilik ünvanlamasını nəzərdən keçirin, çünki bu, aparatdan törəmə identifikatoru ifşa etmədən hər prefiks üzrə identifikator saxlayır. İcazə siyahısı dəyişdirildikdə uzantıları yenidən aktivləşdirin.

Dəyişikliyi dəstəklədiyi qaydanın yanında qeyd edin. Bu qeyd olmadan növbəti administrator məxfilik uzantıları söndürülmüş və izahatsız bir host tapır və təmizlik zamanı onları yenidən aktivləşdirir.