IPv6 adrese ne zamjenjuju vaš VPN: vratite se prvobitnom zadatku

Otvorite statusnu stranicu klijenta, vidite globalnu IPv6 adresu i javlja se iskušenje da zaključite kako je tunel postao opcionalan. Ta stranica pokazuje adresu, ne granicu enkripcije, ne tablicu privatnog rutiranja i ne odluku o pristupu. VPN obično nosi tri zadatka odjednom, a IPv6 dodiruje samo onaj o dijeljenju oskudnih adresa. Praćenje jedne usluge od klijenta do slušača jedini je način da vidite koji zadatak preživi promjenu.

Imenujte zadatak prije nego uklonite alat

Ljudi kažu „VPN“ kada misle na jedan od tri aranžmana, a sva tri padaju iz različitih razloga. Dosezanje jedne aplikacije koju objavljuje jedan tim jest problem pristupa aplikaciji. Pridruživanje definisanom skupu privatnih mreža da bi nekoliko lokacija dosezalo jedna drugu jest ruting odnos. Održavanje stabilnog administrativnog sloja nad infrastrukturom koju ne kontrolišete potpuno jest operativni aranžman sa vlastitim planom adresa.

IPv6 uklanja prepreku dijeljenja adresa za prvi aranžman i tu radi stvarni posao, jer direktna adresa može zamijeniti prevodioca. Za druga dva ne mijenja ništa, jer zahtjev nikada nije bio nestašica adresa. Zapišite koji od tri stvarno vodite prije nego dirnete konfiguraciju.

Javna adresa nije enkripcija

Adresa globalnog opsega kaže gdje se host može doseći; ne kaže ništa o tome je li promet koji tamo pristiže enkriptovan ili autentifikovan. Rasprava o sigurnosti u RFC 8504 odvaja podršku implementaciji IPsec od šireg izbora između IPsec, TLS, SSH i drugih pristupa, i upravo ta razlika nestaje kada se adresabilnost čita kao zaštita. Stack koji podržava mehanizam dokazao je samo da je mehanizam dostupan, nikada da je ovaj tok prošao kroz njega. Kod IPsec posebno, pregovarana asocijacija i promet koji ona odabere odlučuju šta je zaštićeno, a adresna porodica je svojstvo paketa, ne politika za njega.

Dostupnost je opet odvojeno pitanje. Javna adresa ne čini da nepoželjni promet stigne, jer ruta, firewall i slušač svaki imaju glas, a uklanjanje NAT-a uklanja jedan filter, ne sve. Odlučite koji je od ta tri tunel zamjenjivao, ako ijedan.

Šta sloj još pruža

Sloj i dalje zaslužuje svoje mjesto u tri situacije. Udaljeni korisnici mogu trebati određeni skup ruta umjesto jedne aplikacije, dvije lokacije mogu trebati dogovor o privatnoj dostupnosti, a operateri mogu htjeti adresiranje koje se ne mijenja kad se promijeni davalac pristupa. Nijedan od tri nije o nestašici IPv4 adresa.

Globalne adrese to ne čine bez održavanja. Uredan unutrašnji plan ne održava vanjsku krajnju tačku da odgovara nakon što je davalac promijeni, a autentifikacija, ponovno povezivanje i ažuriranje imena i dalje trebaju vlasnika. Odlučite kako se to oporavlja prije nego što se bilo šta isključi.

Pratite uslugu koja postaje javna

Pođite od hosta i popišite šta zaista sluša, jer aplikacija koju ste odobrili rijetko je jedina stvar na mašini. ss -lntup ispisuje svaki TCP i UDP slušač s njegovom bind adresom i dodaje proces vlasnika gdje to privilegije dopuštaju, što na prvi pogled pokazuje sjedi li administrativni interfejs na wildcard adresi ili samo na loopbacku. Ako vaš stack drži IPv6 sockete odvojeno, ponovite ovako: ss -6 -lntup.

Zatim klasifikujte svaki red po publici. Port aplikacije sa vlastitom autentifikacijom i transportnom sigurnošću može biti u redu na javnoj adresi, dok administrativni interfejs, tačka metrika i port baze podataka obično nisu. Jedna odobrena aplikacija je procjena samo o toj aplikaciji, nikada dozvola da se izloži svaka usluga koja dijeli host. Bind adresa u svakom redu govori postoji li izloženost već ili bi je stvorila promjena koju planirate.

Dva testa, pa odlučite šta isključiti

Prije nego uklonite sloj, odgovorite na dva pitanja na papiru. Prvo, treba li zahtjev privatno rutiranje, to jest dostupnost koju javna adresa ne podrazumijeva i koju davalac pristupa ne nudi? Drugo, treba li granicu zaštite, to jest enkripciju i autentifikaciju na toku koji bi inače prešao nepouzdan put otvoreno? Ako su oba odgovora ne za tu uslugu, tunel je kandidat za uklanjanje; ako je ijedan da, ostaje.

Izvedite isti test odvojeno na IPv4 i IPv6 na dual-stack klijentu jer zaštićeni IPv4 promet ne govori ništa o IPv6 putu. Globalna IPv6 adresa na statusnoj stranici nije dokaz curenja, a nedostatak nije dokaz zaštite. Isključite samo usluge kod kojih su oba odgovora zapisana i još uvijek ne, i u zapis o promjeni zabilježite koje je pitanje odlučilo.