IPv6 ULA u VPN-u: privatno adresiranje, a ne privatnost

Adrese koje izgledaju privatno nisu privatne u smislu koji većina ljudi podrazumijeva, a jedinstveno-lokalno adresiranje IPv6 je najjasniji slučaj. ULA prefiks daje VPN-u stabilan interni plan za resurse iza sebe. On ne šifrira ništa, ne autentificira drugu stranu i ne odlučuje kojim uslugama klijent smije pristupiti. Tretiranje prefiksa kao sigurnosne kontrole greška je koju ovaj članak treba ukloniti.

Šta prefiks zapravo pruža

RFC 4193 izdvaja fc00::/7 za lokalnu upotrebu, pri čemu L bit razlikuje lokalno dodijeljen prostor od rezervisanog oblika. U praksi to znači da je fd00::/8 ono što generirate. Specifikacija također definira kako se 40-bitni globalni ID treba izvesti, kako nezavisne lokacije ne bi slučajno izabrale isti prefiks. Taj prostor je dizajniran da ostane izvan javnog interneta, što je svojstvo usmjeravanja, a ne zaštita.

Unutar lokacije uobičajen raspored je /48 globalni ID podijeljen u podmreže: jedna za klijente tunela, jedna za serversku stranu, jedna za svaku udaljenu LAN. Ta struktura je cijela korist, i to je korist adresiranja. Svaki paket još uvijek treba rutu i još uvijek treba politiku koja ga dopušta.

Miješanje prefiksa s tunelom je način na koji dizajn završi dokumentirajući fd00 adrese i pretpostavljajući da je promet između njih zaštićen. Nije, osim ako nešto drugo pruža zaštitu.

Zašto kopiranje primjera prefiksa boli

Svaki tutorijal koristi pamtljiv prefiks, a svaki čitatelj koji ga kopira nasljeđuje isti rizik kolizije. Dvije lokacije koje se kasnije povežu tunelom od lokacije do lokacije s identičnim rasponima proizvode upravo onu dvosmislenost poznatu iz preklapajućeg privatnog IPv4 prostora. Nijedna strana sama po sebi nije pogrešna, a kombinirana mreža nema načina reći koje se odredište misli.

Generiranje globalnog ID-a prema dokumentiranom postupku traje minutu i uklanja pitanje. Zabilježite prefiks, ulazne podatke generiranja i datum pored plana adresa.

Rizik nije teoretski za svakoga ko spaja mreže nakon akvizicije ili povezuje dva laboratorija preko VPN-a. Također nije hitan za jednu lokaciju, zbog čega se odgađa dok spajanje već nije zakazano.

Obim i pristup su odvojena pitanja

ULA nije namijenjen običnom globalno usmjerenom internetskom adresiranju. To ne čini svakog hosta koji ga koristi pouzdanim i ne čini te hostove nedostupnim iz drugih povezanih privatnih mreža. Vatrozidi i dopuštenja aplikacija i dalje odlučuju šta druga strana smije koristiti, a tunel i dalje pruža onu autentifikaciju s kojom je konfiguriran.

Internetski izlaz treba vlastiti dizajn IPv6 izlaza. Dodjeljivanje ULA adrese klijentu ne stvara pristup proizvoljnim globalnim odredištima, a od klijenta koji je dobije ne treba očekivati da preko nje pregleda javni internet.

Dvije lokacije s različitim prefiksima i dalje trebaju povratne rute za raspone jedna druge, a oba vatrozida trebaju odgovarajuća pravila. Ništa od toga ne slijedi iz porodice adresa. Ono što slijedi je dokumentacijski rad: tabela prefiksa i sistema kojima je dopušteno odgovarati na svakom od njih.

Provjerite plan na oba kraja

Potvrdite da se prefiks pojavljuje tamo gdje mislite da se pojavljuje, a zatim potvrdite da je odredište stvarno dostupno preko njega.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Popis adresa pokazuje koje sučelje drži koju podmrežu, a klijent koji je dobio pogrešnu to obično pokazuje ovdje. Popis ruta pokazuje ima li udaljeni prefiks put kroz tunel umjesto da bude odbačen. Test odgovara na jedino pitanje koje je važno, a to je da li paket napravi povratno putovanje.

Ponovite provjeru nakon ponovnog povezivanja, jer klijent koji zadrži adresu ali izgubi rutu stvara vezu koja izgleda podignuta i ništa ne prosljeđuje. Adresa je laki dio, a ruta je ono što nestaje. Sačuvajte oba izlaza pored naziva profila veze kako bi sljedeće poređenje počelo od dokaza.