Адрасы прыватнасці IPv6 ці белы спіс RDP: выберыце кампраміс

Аддалены доступ да працоўнага стала працаваў месяц, а потым белы спіс перастаў супадаць без прычыны, якую хто-небудзь мог бачыць. Хост не перамяшчаўся, і ў брандмаўэры нічога не рэдагавалася. Windows працягвае ствараць часовыя адрасы IPv6 з выпадковымі ідэнтыфікатарамі інтэрфейсаў і адмаўляцца ад іх, таму адрас крыніцы, які сервер бачыць у любы дзень, можа быць тым, якога ніхто не ўпісаў у правіла. Адключэнне гэтых паводзін выпраўляе супадзенне і адначасова ператварае хост у доўгачасовы ідэнтыфікатар. Узважце альтэрнатывы, перш чым прыняць другую палову.

Чаму правіла перастала супадаць

RFC 4941 апісвае часовыя адрасы: хост стварае дадатковыя адрасы са звышвыпадковымі ідэнтыфікатарамі і адмаўляецца ад іх, што не дазваляе назіральніку суадносіць адзін хост паміж наведваннямі. Windows рэалізуе гэтыя паводзіны, таму ўчорашні адрас крыніцы не абавязкова сённяшні. Прадказальны адрас усё яшчэ існуе на інтэрфейсе; проста гэта не той, якому аддае перавагу зыходнае злучэнне.

Вось чаму збой выглядае перапынковым, а не поўным. Правіла супадае некаторы час пасля стварэння адраса, перастае супадаць, калі той адмаўляецца, і зноў пачынае супадаць пасля таго, як хто-небудзь яго адрэдагуе. Маніторынг, згрупаваны па адрасе крыніцы, і праверкі ліцэнзій, прывязаныя да адраса хоста, ламаюцца па тым жа графіку. Правіла, якое працуе адразу пасля рэдагавання і збаўляе праз тры тыдні, звычайна менавіта такое, а не перазагрузка брандмаўэра.

Варыянт першы: адзін стабільны адрас, менш прыватнасці

Звычайнае выпраўленне адключае абодва механізмы ротацыі на хосце: netsh interface ipv6 set privacy state=disabled store=persistent і netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Дадайце store=active, калі хочаце, каб змена набыла моц без чакання перазапуску, і прызнайце, што вы зрабілі ідэнтыфікатар прадказальным у розных сетках.

Гэтая прадказальнасць — менавіта тое, што пашырэнні ствараліся прадухіляць. Адрас, які суправаджае хост з кавярні ў офіс і дадому, — зручны ключ фільтра і такі ж зручны ключ адсочвання, і другая ўласцівасць жыве даўжэй за заяўку, якая запатрабавала першую.

Варыянт другі: дазволіць прэфікс або імя

Дазвол /64 замест поўнага адраса захоўвае ротацыю цэлай і адпавядае больш слабаму, але часта сумленнаму сцвярджэнню: гэтая машына ў маёй хатняй сетцы. Гэта перастае быць дастатковым у той момант, калі такі прэфікс змяшчае хасты, якіх вы не дапусцілі б, а на спажывецкім злучэнні гэта звычайна меншы набор, чым людзі мяркуюць. Імя, апублікаванае праз дынамічны DNS, прасцей эксплуатаваць, бо запіс ідзе за хостам, і палітыка чытаецца як ідэнтычнасць, а не як дыяпазон, што расце з кожнай дададзенай прыладай.

Абодва варыянты патрабуюць рэзальвера, якому сервер можа давяраць, і імя, якое нельга трывіяльна падрабіць, таму стаўцеся да іх як да палітычнага рашэння пра ідэнтычнасць, а не як да касметычнай змены правіла. Запішыце, які рэзальвер адказвае за гэтае імя, бо правіла гэтак жа надзейнае, як запіс за ім.

Варыянт трэці: няхай тунель прызначыць адрас

Калі злучэнне ідзе праз VPN, які вы кантралюеце, сервер можа выдаваць адрас са свайго пула, і белы спіс тады спасылаецца на значэнне, якое выбірае сервер, а не на тое, якому аддае перавагу кліент. Гэта добра працуе для кіраваных кліентаў і дрэнна для ўсяго, што кліент можа пераадолець, таму праверце, які бок сапраўды перамагае ў вашым разгортванні.

Перанос рашэння цалкам з адраса, на сертыфікат кліента або аўтэнтыфікаваны шлюз, — гэта варыянт, які маштабуецца, бо ён перастае залежаць ад значэння, якое аперацыйная сістэма мае права змяніць.

Выбірайце з улікам кошту адсочвання

Запішыце чатыры варыянты супраць фактычнай патрэбы і выберыце адзін замест іх спалучэння. Калі вы ўсё ж адключыце прыватнасць, абмяжуйце гэта хостам, якому гэта патрэбна, задокументуйце прычыну побач з правілам і разгледзьце стабільную адрасацыю прыватнасці з RFC 7217 там, дзе платформа яе падтрымлівае, бо яна захоўвае ідэнтыфікатар для кожнага прэфікса, не раскрываючы атрыманы з абсталявання. Ізноў уключыце пашырэнні, калі белы спіс будзе заменены.

Запішыце змену побач з правілам, якое яна падтрымлівае. Без гэтай нататкі наступны адміністратар знойдзе хост з адключанымі пашырэннямі прыватнасці і без тлумачэння і ўключыць іх падчас чысткі.