Адрасы IPv6 не замяняюць ваш VPN: спачатку ўспомніце першапачатковую задачу

Адкрыйце старонку стану кліента, убачце глабальны адрас IPv6, і ўзнікае спакуса заключыць, што тунель стаў неабавязковым. Гэтая старонка паказвае адрас, а не мяжу шыфравання, не табліцу прыватнай маршрутызацыі і не рашэнне пра доступ. VPN звычайна выконвае тры задачы адначасова, а IPv6 закранае толькі тую, што пра размеркаванне дэфіцытных адрасоў. Прасачыць адну паслугу ад кліента да слухача — адзіны спосаб убачыць, якая задача перажыве змену.

Назавіце задачу, перш чым прыбраць інструмент

Людзі кажуць «VPN», маючы на ўвазе адну з трох схемаў, і ўсе тры церпяць няўдачу з розных прычын. Дасягнуць аднаго дадатку, які публікуе адна каманда, — гэта праблема доступу да дадатку. Далучыцца да пэўнага набору прыватных сетак, каб некалькі пляцовак бачылі адна адну, — гэта маршрутныя адносіны. Трымаць стабільны адміністрацыйны накладзены слой над інфраструктурай, якой вы не цалкам кіруеце, — гэта эксплуатацыйная схема з уласным планам адрасоў.

IPv6 здымае перашкоду сумеснага выкарыстання адрасоў для першай схемы, і там ён робіць сапраўдную працу, бо прамы адрас можа замяніць транслятар. Для дзвюх іншых ён нічога не змяняе, бо патрабаваннем ніколі не быў дэфіцыт адрасоў. Запішыце, якую з трох вы насамрэч вядзеце, перш чым чапаць канфігурацыю.

Публічны адрас — не шыфраванне

Адрас глабальнага ахопу кажа, дзе да хасла можна дасягнуць; ён нічога не кажа пра тое, ці трафік, што туды прыходзіць, шыфраваны ці аўтэнтыфікаваны. Абмеркаванне бяспекі ў RFC 8504 аддзяляе падтрымку рэалізацыі IPsec ад шырэйшага выбару паміж IPsec, TLS, SSH і іншымі падыходамі, і менавіта гэтае адрозненне знікае, калі адраснасць чытаюць як абарону. Стэк, які падтрымлівае механізм, даказаў толькі, што механізм даступны, а ніколі — што гэты паток прайшоў праз яго. Для IPsec асабліва тое, што абаронена, вызначаюць узгодненая асацыяцыя і абраны ёю трафік, а сямейства адрасоў — уласцівасць пакета, а не палітыка для яго.

Дасяжнасць — зноў асобнае пытанне. Публічны адрас не прымушае незапатрабаваны трафік прыходзіць, бо маршрут, міжсеткавы экран і слухач кожны маюць голас, а выдаленне NAT прыбірае адзін фільтр, а не ўсе. Вызначце, якую з гэтых трох падмяняў тунель, калі такая была.

Што накладзены слой яшчэ дае

Накладзены слой працягвае апраўдваць сябе ў трох сітуацыях. Аддаленым карыстальнікам можа патрэбны пэўны набор маршрутаў, а не адзін дадатак, дзве пляцоўкі могуць мець патрэбу ў пагадненні пра прыватную дасяжнасць, а аператары могуць хацець адрасацыю, якая не змяняецца пры змене правайдэра доступу. Ні адна з трох не пра недахоп адрасоў IPv4.

Глабальныя адрасы не робяць гэта бясплатным у абслугоўванні. Акуратны ўнутраны план не ўтрымае знешні пункт, які адказвае пасля таго, як правайдэр яго змяніў, а аўтэнтыфікацыя, перападключэнне і абнаўленне імёнаў па-ранейшаму патрабуюць гаспадара. Вырашыце, як гэта аднаўляць, перш чым нешта адключаць.

Прасачыце паслугу, якая стане публічнай

Пачніце з хасла і пералічыце, што насамрэч слухае, бо дадатак, які вы ўхвалілі, рэдка бывае адзіным на машыне. ss -lntup друкуе кожнага слухача TCP і UDP з адрасам прывязкі і дадае працэс-уладальнік, дзе дазваляюць правы, што адразу паказвае, ці сядзіць адміністрацыйны інтэрфейс на адрасе з падстаноўчым знакам, ці толькі на loopback. Калі ваш стэк трымае сокеты IPv6 асобна, паўтарыце гэтак: ss -6 -lntup.

Затым класіфікуйце кожны радок па аўдыторыі. Порт дадатка з уласнай аўтэнтыфікацыяй і абаронай транспарту можа быць прыдатным на публічным адрасе, а адміністрацыйны інтэрфейс, пункт метрык і порт базы даных звычайна не. Адзін ухвалены дадатак — гэта меркаванне толькі пра яго, а ніколі не дазвол адкрываць кожную паслугу на хасле. Адрас прывязкі ў кожным радку кажа, ці ўздзеянне ўжо існуе ці яго створыць змена, якую вы плануеце.

Два тэсты, потым вырашыце, што адключыць

Перш чым прыбраць слой, адкажыце на два пытанні на паперы. Па-першае, ці патрабуе патрабаванне прыватнай маршрутызацыі, гэта значыць дасяжнасці, якой публічны адрас не прадугледжвае і якую правайдэр доступу не прапануе? Па-другое, ці патрэбная мяжа абароны, гэта значыць шыфраванне і аўтэнтыфікацыя для патоку, які інакш перасек бы недавераны шлях адкрыта? Калі абодва адказы для гэтай паслугі не, тунель — кандыдат на выдаленне; калі хоць адзін так, ён застаецца.

Правядзіце той жа тэст паасобку па IPv4 і IPv6 на двухстэкавым кліенце бо абаронены трафік IPv4 нічога не кажа пра шлях IPv6. Глабальны адрас IPv6 на старонцы стану не доказ уцечкі, а яго адсутнасць не доказ абароны. Адключыце толькі тыя паслугі, дзе абодва адказы запісаны і ўсё яшчэ не, і адзначце ў запісе змен, якое пытанне вырашыла.