VPN-də IPv6 ULA: şəxsi ünvanlama, məxfilik deyil

Şəxsi görünən ünvanlar insanların çoxunun nəzərdə tutduğu mənada şəxsi deyil və IPv6 unikal-lokal ünvanlaması bunun ən aydın halıdır. ULA prefiksi VPN-ə arxasındakı resurslar üçün sabit daxili plan verir. O, heç nəyi şifrələmir, qarşı tərəfi autentifikasiya etmir və müştərinin hansı xidmətlərə çata biləcəyini müəyyən etmir. Prefiksi təhlükəsizlik nəzarəti kimi qəbul etmək bu məqalənin aradan qaldırmaq üçün yazıldığı səhvdir.

Prefiks əslində nə verir

RFC 4193 fc00::/7 diapazonunu lokal istifadə üçün ayırır və L biti lokal təyin edilmiş sahəni ehtiyat formasından fərqləndirir. Təcrübədə bu, yaratdığınız şeyin fd00::/8 olması deməkdir. Spesifikasiya həmçinin 40 bitlik qlobal ID-nin necə çıxarılmalı olduğunu müəyyən edir ki, müstəqil saytlar təsadüfən eyni prefiksi seçməsin. Həmin sahə publik internetdən kənarda qalmaq üçün nəzərdə tutulub və bu, marşrutlaşdırma xassəsidir, qoruma deyil.

Bir sayt daxilində adi quruluş subnetlərə bölünmüş /48 qlobal ID-dir: biri tunel müştəriləri üçün, biri server tərəfi üçün, hər uzaq LAN üçün bir. Bu struktur bütün faydadır və bu, ünvanlama faydasıdır. Hər paket hələ də marşrut tələb edir və hələ də ona icazə verən siyasət tələb edir.

Prefiksi tunellə qarışdırmaq, dizaynın fd00 ünvanlarını sənədləşdirib aralarındakı trafikin qorunduğunu güman etməsi ilə nəticələnir. Başqa bir şey qorumadıqca belə deyil.

Nümunə prefiksini kopyalamaq niyə zərər verir

Hər dərslik yaddaqalan prefiks istifadə edir və onu kopyalayan hər oxucu eyni toqquşma riskini miras alır. Sonradan eyni diapazonlarla saytlararası tunel vasitəsilə birləşən iki sayt, üst-üstə düşən şəxsi IPv4 sahəsindən tanınan həmin qeyri-müəyyənliyi yaradır. Tərəflərdən heç biri təkbaşına səhv deyil və birləşmiş şəbəkənin hansı təyinatın nəzərdə tutulduğunu bilmək imkanı yoxdur.

Qlobal ID-ni sənədləşdirilmiş proseslə yaratmaq bir dəqiqə çəkir və sualı aradan qaldırır. Prefiksi, yaradılma girişini və tarixi qeyd edin ünvan planının yanında.

Risk, satınalmadan sonra şəbəkələri birləşdirən və ya iki laboratoriyanı VPN vasitəsilə birləşdirən hər kəs üçün nəzəri deyil. Tək bir sayt üçün də təcil deyil, buna görə birləşmə artıq planlaşdırılana qədər təxirə salınır.

Əhatə dairəsi və giriş ayrı suallardır

ULA adi qlobal marşrutlaşdırılan internet ünvanlaması üçün nəzərdə tutulmayıb. Bu, ondan istifadə edən hər hostu etibarlı etmir və həmin hostları digər qoşulmuş şəxsi şəbəkələrdən əlçatmaz etmir. Firewall və tətbiq icazələri hələ də qarşı tərəfin nədən istifadə edə biləcəyini müəyyən edir və tunel hələ də konfiqurasiya edildiyi autentifikasiyanı təmin edir.

İnternet çıxışı üçün ayrıca IPv6 çıxış dizaynı lazımdır. Müştəriyə ULA ünvanı vermək ixtiyari qlobal hədəflərə giriş yaratmır və belə ünvan alan müştəridən publik internetdə onun üzərindən gəzmək gözlənilməməlidir.

Fərqli prefiksləri olan iki sayt hələ də bir-birinin diapazonları üçün qayıdış marşrutlarına ehtiyac duyur və hər iki firewall uyğun qaydalara ehtiyac duyur. Bunların heç biri ünvan ailəsindən irəli gəlmir. İrəli gələn sənədləşdirmə işidir: prefikslər cədvəli və hər birində cavab verməyə icazə verilən sistemlər.

Planı hər iki son nöqtədə yoxlayın

Prefiksin düşündüyünüz yerdə göründüyünü təsdiqləyin, sonra hədəfin həqiqətən onun üzərindən əlçatan olduğunu təsdiqləyin.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Ünvan siyahısı hansı interfeysin hansı subpeti daşıdığını göstərir və səhv subpeti almış müştəri adətən bunu burada göstərir. Marşrut siyahısı uzaq prefiksin tunel vasitəsilə yolu olub-olmadığını, yoxsa atıldığını göstərir. Sınaq yalnız vacib olan suala cavab verir: paketin gediş-dönüş edib-etmədiyi.

Yenidən qoşulmadan sonra yoxlamanı təkrarlayın, çünki ünvanını saxlayıb marşrutunu itirən müştəri yuxarı görünən və heç nə ötürməyən bir bağlantı yaradır. Ünvan asan hissədir, yoxa çıxan isə marşrutdur. Hər iki çıxışı bağlantı profilinin adının yanında saxlayın ki, növbəti müqayisə sübutdan başlasın.