IPv6 адресите не заменят вашия VPN: върнете се към първоначалната задача

Отворете страницата за състояние на клиента, видите глобален IPv6 адрес и изкушението е да заключите, че тунелът е станал незадължителен. Тази страница показва адрес, не граница на криптиране, не таблица за частна маршрутизация и не решение за достъп. VPN обикновено носи три задачи наведнъж, а IPv6 засяга само онази за споделянето на оскъдни адреси. Проследяването на една услуга от клиента до слушателя е единственият начин да видите коя задача оцелява след промяната.

Назовете задачата, преди да махнете инструмента

Хората казват „VPN“, когато имат предвид една от три подредби, и трите се провалят по различни причини. Достигането на едно приложение, публикувано от един екип, е проблем за достъп до приложение. Присъединяването към определен набор частни мрежи, за да се достигат няколко обекта взаимно, е маршрутна връзка. Поддържането на стабилен административен слой върху инфраструктура, която не контролирате напълно, е оперативна подредба със собствен адресен план.

IPv6 премахва пречката за споделяне на адреси при първата подредба и там върши истинска работа, защото директен адрес може да замени транслатор. За другите две не променя нищо, тъй като изискването никога не е било недостиг на адреси. Запишете коя от трите всъщност управлявате, преди да пипнете конфигурация.

Публичният адрес не е криптиране

Адресът с глобален обхват ви казва къде може да се достигне до хост; той не казва нищо за това дали пристигащият там трафик е криптиран или удостоверен. Обсъждането на сигурността в RFC 8504 отделя поддръжката на IPsec реализация от по-широкия избор между IPsec, TLS, SSH и други подходи и именно това разграничение изчезва, когато адресируемостта се чете като защита. Стек, който поддържа механизъм, е доказал само че механизмът е наличен, никога че този поток е минал през него. При IPsec конкретно договорената асоциация и избраният от нея трафик решават какво е защитено, а семейството адреси е свойство на пакета, не политика за него.

Достижимостта отново е отделен въпрос. Публичният адрес не кара непоискан трафик да пристига, защото маршрутът, защитната стена и слушателят всеки има глас, а премахването на NAT премахва един филтър, не всички. Решете кое от тези три е замествал тунелът, ако е имало такова.

Какво още дава слоят

Слоят продължава да печели мястото си в три ситуации. Отдалечените потребители може да се нуждаят от определен набор маршрути, а не от едно приложение, два обекта може да се нуждаят от споразумение за частна достижимост, а операторите може да искат адресиране, което не се променя при смяна на доставчика на достъп. Нито една от трите не е за недостига на IPv4 адреси.

Глобалните адреси не правят това без поддръжка. Подреденият вътрешен план не запазва външната крайна точка да отговаря, след като доставчикът я смени, а удостоверяването, повторното свързване и обновяването на имената все още се нуждаят от собственик. Решете как те се възстановяват, преди нещо да бъде изключено.

Проследете услугата, която става публична

Започнете от хоста и избройте какво наистина слуша, защото одобреното от вас приложение рядко е единственото на машината. ss -lntup отпечатва всеки TCP и UDP слушател с адреса му на обвързване и добавя процеса собственик, където правата позволяват, което показва с един поглед дали административен интерфейс стои на адрес с заместващ знак или само на loopback. Ако стекът ви държи IPv6 сокетите отделно, повторете така: ss -6 -lntup.

След това класифицирайте всеки ред по аудитория. Порт на приложение със собствено удостоверяване и транспортна сигурност може да е приемлив на публичен адрес, докато административен интерфейс, крайна точка за метрики и порт на база данни обикновено не са. Едно одобрено приложение е преценка само за него, никога разрешение да се изложи всяка услуга на хоста. Адресът на обвързване във всеки ред показва дали излагането вече съществува или би се създало от промяната, която планирате.

Два теста, после решете какво да изключите

Преди да махнете слой, отговорете на два въпроса на хартия. Първо, изискването нуждае ли се от частна маршрутизация, тоест достижимост, която публичен адрес не предполага и доставчикът на достъп не предлага? Второ, нужно ли е граница на защита, тоест криптиране и удостоверяване на поток, който иначе би пресякъл ненадежден път в открит вид? Ако и двата отговора за тази услуга са не, тунелът е кандидат за премахване; ако поне един е да, той остава.

Изпълнете същия тест поотделно върху IPv4 и IPv6 на двустеков клиент защото защитеният IPv4 трафик не казва нищо за пътя на IPv6. Глобален IPv6 адрес на страница за състояние не е доказателство за изтичане, а липсващият не е доказателство за защита. Изключете само услугите, при които и двата отговора са записани и все още са не, и отбележете в записа за промяната кой въпрос е решил.