Les adreces IPv6 no substitueixen la vostra VPN: torneu a la tasca original

Obriu la pàgina d'estat del client, vegeu una adreça IPv6 global i la temptació és concloure que el túnel ha passat a ser opcional. Aquesta pàgina mostra una adreça, no una frontera de xifratge, no una taula d'encaminament privat i no una decisió d'accés. Una VPN sol dur tres tasques alhora, i IPv6 només toca la que fa referència a compartir adreces escasses. Recórrer un sol servei des del client fins a l'oient és l'única manera de veure quina tasca sobreviu al canvi.

Anomeneu la tasca abans de retirar l'eina

La gent diu “la VPN” quan vol dir un de tres arranjaments, i els tres fallen per motius diferents. Arribar a una aplicació publicada per un equip és un problema d'accés a l'aplicació. Unir-se a un conjunt definit de xarxes privades perquè diversos llocs es puguin abastar és una relació d'encaminament. Mantenir una capa administrativa estable sobre infraestructura que no controleu del tot és un arranjament operatiu amb el seu propi pla d'adreces.

IPv6 elimina un obstacle de compartició d'adreces per al primer arranjament, i allà fa feina real, perquè una adreça directa pot substituir un traductor. Per als altres dos no canvia res, ja que el requisit mai no va ser l'escassetat d'adreces. Anoteu quin dels tres executeu realment abans de tocar cap configuració.

Una adreça pública no és xifratge

Una adreça d'abast global us diu on es pot abastar un host; no diu res sobre si el trànsit que hi arriba va xifrat o autenticat. La discussió de seguretat de l'RFC 8504 separa el suport a la implementació d'IPsec de l'elecció més àmplia entre IPsec, TLS, SSH i altres enfocaments, i aquesta és precisament la distinció que desapareix quan l'adreçabilitat es llegeix com a protecció. Una pila que admet un mecanisme només ha demostrat que el mecanisme és disponible, mai que aquest flux hi hagi passat. En IPsec concretament, l'associació negociada i el trànsit que selecciona decideixen què queda protegit, i una família d'adreces és una propietat del paquet, no una política per a ell.

L'abastabilitat torna a ser una qüestió a part. Una adreça pública no fa arribar trànsit no sol·licitat, perquè la ruta, el tallafoc i l'oient hi tenen cadascun un vot, i treure NAT elimina un filtre, no tots. Decidiu quin d'aquests tres substituïa el túnel, si n'hi havia cap.

Què continua aportant la capa

La capa continua guanyant-se el lloc en tres situacions. Els usuaris remots poden necessitar un conjunt concret de rutes en lloc d'una aplicació, dos llocs poden necessitar un acord d'abastabilitat privada, i els operadors poden voler un adreçament que no canviï quan canvia el proveïdor d'accés. Cap de les tres no té a veure amb l'escassetat d'adreces IPv4.

Les adreces globals no ho fan lliure de manteniment. Un pla intern ordenat no manté el punt final extern responent després que el proveïdor el canviï, i l'autenticació, la reconnexió i les actualitzacions de noms encara necessiten un responsable. Decidiu com es recuperen abans que es desconnecti res.

Recorreu el servei que es fa públic

Comenceu per l'host i llisteu què hi escolta realment, perquè l'aplicació que heu aprovat poques vegades és l'única cosa a la màquina. ss -lntup imprimeix cada oient TCP i UDP amb la seva adreça d'enllaç i afegeix el procés propietari quan els privilegis ho permeten, cosa que mostra d'un cop d'ull si una interfície d'administració se seu en una adreça comodí o només en loopback. Si la vostra pila manté els sockets IPv6 a part, repetiu-ho així: ss -6 -lntup.

Després classifiqueu cada línia per audiència. Un port d'aplicació amb autenticació i seguretat de transport pròpies pot estar bé en una adreça pública, mentre que una interfície administrativa, un punt de mètriques i un port de base de dades normalment no ho estan. Una aplicació aprovada és un judici només sobre aquesta aplicació, mai un permís per exposar cada servei que comparteix l'host. L'adreça d'enllaç de cada línia us diu si l'exposició ja existeix o la crearia el canvi que planifiqueu.

Dues proves, després decidiu què desconnectar

Abans de retirar una capa, responeu dues preguntes sobre paper. Primer, el requisit necessita encaminament privat, és a dir, abastabilitat que una adreça pública no implica i que el proveïdor d'accés no ofereix? Segon, necessita una frontera de protecció, és a dir, xifratge i autenticació en un flux que d'altra manera travessaria un camí no fiable en clar? Si totes dues respostes són no per a aquest servei, el túnel és candidat a retirar-se; si alguna és sí, es queda.

Feu la mateixa prova per separat sobre IPv4 i IPv6 en un client de doble pila perquè el trànsit IPv4 protegit no diu res sobre el camí IPv6. Una adreça IPv6 global en una pàgina d'estat no és prova d'una fuita, i que en falti una no és prova de protecció. Desconnecteu només els serveis on totes dues respostes estan escrites i encara són no, i anoteu al registre de canvis quina pregunta ho va decidir.