IPv6 ULA у VPN: прыватная адрасацыя, а не прыватнасць

Адрасы, якія выглядаюць прыватнымі, не з'яўляюцца прыватнымі ў тым сэнсе, які мае на ўвазе большасць людзей, і ўнікальна-лакальная адрасацыя IPv6 — самы ясны выпадак. Прэфікс ULA дае VPN стабільны ўнутраны план для рэсурсаў за ім. Ён нічога не шыфруе, не аўтэнтыфікуе партнёра і не вырашае, да якіх сэрвісаў кліент можа дабрацца. Стаўленне да прэфікса як да сродку бяспекі — гэта памылка, якую гэты артыкул павінен прыбраць.

Што насамрэч дае прэфікс

RFC 4193 вылучае fc00::/7 для лакальнага выкарыстання, а біт L адрознівае лакальна прызначаную прастору ад рэзервовай формы. На практыцы гэта азначае, што вы генеруеце менавіта fd00::/8. Спецыфікацыя таксама вызначае, як павінен вылічвацца глабальны ID у 40 біт, каб незалежныя пляцоўкі не выбралі адзін і той жа прэфікс выпадкова. Гэтая прастора прызначана заставацца па-за публічным інтэрнэтам, што з'яўляецца ўласцівасцю маршрутызацыі, а не абаронай.

Унутры пляцоўкі звычайная схема — гэта глабальны ID /48, падзелены на падсеткі: адна для кліентаў тунеля, адна для боку сервера, адна для кожнай аддаленай LAN. Гэтая структура — уся выгада, і гэта выгада адрасацыі. Кожны пакет па-ранейшаму патрабуе маршруту і па-ранейшаму патрабуе палітыкі, якая яго дазваляе.

Блытаніна прэфікса з тунелем — гэта шлях, якім праект пачынае дакументаваць адрасы fd00 і меркаваць, што трафік паміж імі абаронены. Гэта не так, калі нешта іншае не забяспечвае абарону.

Чаму капіраванне прэфікса з прыкладу балючае

Кожны туторыял выкарыстоўвае прэфікс, які лёгка запомніць, і кожны чытач, які яго капіруе, атрымлівае ў спадчыну той жа рызыка канфлікту. Дзве пляцоўкі, якія пазней злучаюцца праз тунель паміж пляцоўкамі з аднолькавымі дыяпазонамі, ствараюць менавіта тую неадназначнасць, вядомую з перакрыжаванай прыватнай прасторы IPv4. Ні адзін бок сам па сабе не памыляецца, і аб'яднаная сетка не мае спосабу вызначыць, які пункт прызначэння маецца на ўвазе.

Генерацыя глабальнага ID па дакументаваным працэсе займае хвіліну і здымае пытанне. Запішыце прэфікс, уваходныя даныя генерацыі і дату побач з планам адрасоў.

Рызыка не тэарэтычная для кожнага, хто аб'ядноўвае сеткі пасля набыцця або злучае дзве лабараторыі праз VPN. Яна таксама не тэрміновая для адной пляцоўкі, і таму яе адкладаюць да таго часу, пакуль зліццё ўжо не запланавана.

Аб'ём і доступ — асобныя пытанні

ULA не прызначаны для звычайнай глабальна маршрутызаванай інтэрнэт-адрасацыі. Гэта не робіць кожны хост, які яго выкарыстоўвае, давераным, і не робіць гэтыя хасты недасягальнымі з іншых падключаных прыватных сетак. Файрволы і дазволы праграм па-ранейшаму вырашаюць, што партнёр можа выкарыстоўваць, а тунель па-ранейшаму забяспечвае тую аўтэнтыфікацыю, з якой ён быў настроены.

Выхад у інтэрнэт патрабуе ўласнай схемы выхаду IPv6. Прызначэнне ULA-адраса кліенту не стварае доступу да адвольных глабальных пунктаў прызначэння, і ад кліента, які яго атрымаў, не варта чакаць прагляду публічнага інтэрнэту праз яго.

Дзве пляцоўкі з рознымі прэфіксамі па-ранейшаму патрабуюць зваротных маршрутаў для дыяпазонаў адзін аднаго, і абодва файрволы патрабуюць адпаведных правілаў. Нішто з гэтага не вынікае з сямейства адрасоў. Што вынікае — гэта праца па дакументаванні: табліца прэфіксаў і сістэм, якім дазволена адказваць на кожным з іх.

Праверце план на абодвух канцах

Пераканайцеся, што прэфікс з'яўляецца там, дзе вы думаеце, а затым пераканайцеся, што пункт прызначэння сапраўды дасягальны праз яго.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Спіс адрасоў паказвае, які інтэрфейс трымае якую падсетку, і кліент, які атрымаў не тую, звычайна паказвае гэта тут. Спіс маршрутаў паказвае, ці мае аддалены прэфікс шлях праз тунель замест таго, каб быць адкінутым. Праверка адказвае на адзінае пытанне, якое мае значэнне: ці робіць пакет паездку туды і назад.

Паўтарыце праверку пасля перападключэння, бо кліент, які захоўвае адрас, але губляе маршрут, стварае злучэнне, якое выглядае ўзнятым і нічога не перадае. Адрас — лёгкая частка, а маршрут — гэта тое, што знікае. Захавайце абодва вынікі побач з назвай профілю злучэння, каб наступнае параўнанне пачыналася з доказаў.