IPv6 ULA във VPN: частна адресация, а не поверителност

Адресите, които изглеждат частни, не са частни в смисъла, който повечето хора имат предвид, и уникално-локалната адресация на IPv6 е най-ясният случай. ULA префиксът дава на VPN стабилен вътрешен план за ресурсите зад него. Той не шифрова нищо, не удостоверява партньор и не решава кои услуги може да достигне клиентът. Да се третира префиксът като средство за сигурност е грешката, която тази статия е създадена да премахне.

Какво всъщност дава префиксът

RFC 4193 отделя fc00::/7 за локална употреба, като битът L различава локално зададеното пространство от резервираната форма. На практика това означава, че това, което генерирате, е fd00::/8. Спецификацията също така дефинира как трябва да се изведе 40-битовият глобален ID, така че независимите обекти да не изберат един и същ префикс по случайност. Това пространство е проектирано да остане извън публичния интернет, което е свойство на маршрутизацията, а не защита.

В рамките на един обект обичайното разположение е глобален ID /48, разделен на подмрежи: една за тунелните клиенти, една за сървърната страна, една за всяка отдалечена LAN. Тази структура е цялата полза и това е полза по адресацията. Всеки пакет все още се нуждае от маршрут и все още се нуждае от политика, която го разрешава.

Объркването на префикса с тунел е начинът, по който един проект стига до документиране на адреси fd00 и допускане, че трафикът между тях е защитен. Не е, освен ако нещо друго не осигурява защитата.

Защо копирането на примерния префикс боли

Всеки урок използва запомнящ се префикс и всеки читател, който го копира, наследява същия риск от конфликт. Два обекта, които по-късно се свържат през тунел между сайтове с идентични диапазони, създават точно двусмислието, познато от застъпващото се частно IPv4 пространство. Нито една страна не греши сама по себе си и обединената мрежа няма начин да разбере коя дестинация се има предвид.

Генерирането на глобалния ID по документирания процес отнема минута и премахва въпроса. Запишете префикса, входните данни за генериране и датата до плана за адреси.

Рискът не е теоретичен за всеки, който обединява мрежи след придобиване или свързва две лаборатории през VPN. Той също не е спешен за един обект, поради което се отлага, докато сливането вече е насрочено.

Обхват и достъп са отделни въпроси

ULA не е предназначен за обикновена глобално маршрутизирана интернет адресация. Това не прави всеки хост, който го използва, доверен и не прави тези хостове недостъпни от други свързани частни мрежи. Защитните стени и разрешенията на приложенията все още решават какво може да използва партньорът, а тунелът все още предоставя удостоверяването, с което е конфигуриран.

Интернет изходът се нуждае от собствен дизайн за IPv6 изход. Задаването на ULA адрес на клиент не създава достъп до произволни глобални дестинации и от клиент, който получи такъв, не трябва да се очаква да разглежда публичния интернет през него.

Два обекта с различни префикси все още се нуждаят от обратни маршрути за диапазоните един на друг и двете защитни стени се нуждаят от съответстващи правила. Нищо от това не следва от семейството адреси. Това, което следва, е работа по документация: таблица на префиксите и системите, на които е разрешено да отговарят на всеки от тях.

Проверете плана на двата края

Потвърдете, че префиксът се появява там, където смятате, и след това потвърдете, че дестинацията действително е достъпна през него.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Списъкът с адреси показва кой интерфейс държи коя подмрежа, а клиент, който е получил грешната, обикновено я показва тук. Списъкът с маршрути показва дали отдалеченият префикс има път през тунела, вместо да бъде изхвърлен. Пробата отговаря на единствения въпрос, който има значение: дали пакетът прави обиколката.

Повторете проверката след повторно свързване, защото клиент, който запазва адреса си, но губи маршрута, създава връзка, която изглежда вдигната и не предава нищо. Адресът е лесната част, а маршрутът е това, което изчезва. Запазете двата изхода до името на профила на връзката, за да започне следващото сравнение от доказателство.