IPv6 ULA en una VPN: adreçament privat, no privadesa

Les adreces que semblen privades no ho són en el sentit que la majoria de la gent vol dir, i l’adreçament únic local d’IPv6 n’és el cas més clar. Un prefix ULA dona a una VPN un pla intern estable per als recursos que hi ha al darrere. No xifra res, no autentica cap parell i no decideix a quins serveis pot arribar un client. Tractar el prefix com un control de seguretat és l’error que aquest article vol eliminar.

Què proporciona realment el prefix

RFC 4193 reserva fc00::/7 per a ús local, amb el bit L que distingeix l’espai assignat localment de la forma reservada. A la pràctica, això vol dir que el que genereu és fd00::/8. L’especificació també defineix com s’ha de derivar l’ID global de 40 bits, perquè els llocs independents no triïn el mateix prefix per accident. Aquest espai està dissenyat per quedar-se fora d’Internet públic, cosa que és una propietat d’encaminament i no una protecció.

Dins d’un lloc, la disposició habitual és un ID global /48 dividit en subxarxes: una per als clients del túnel, una per al costat del servidor i una per a cada LAN remota. Aquesta estructura és tot el benefici, i és un benefici d’adreçament. Cada paquet encara necessita una ruta i encara necessita una política que el permeti.

Confondre el prefix amb un túnel és com un disseny acaba documentant adreces fd00 i assumint que el trànsit entre elles està protegit. No ho està, tret que una altra cosa faci la protecció.

Per què copiar el prefix de l’exemple fa mal

Tots els tutorials fan servir un prefix fàcil de recordar, i tots els lectors que el copien hereten el mateix risc de col·lisió. Dos llocs que més endavant es connecten per un túnel de lloc a lloc amb rangs idèntics produeixen exactament l’ambigüitat coneguda de l’espai privat IPv4 superposat. Cap dels dos costats no s’equivoca per si sol, i la xarxa combinada no té manera de saber quina destinació es vol dir.

Generar l’ID global segons el procés documentat triga un minut i elimina la pregunta. Anoteu el prefix, les dades de generació i la data al costat del pla d’adreces.

El risc no és teòric per a qui fusiona xarxes després d’una adquisició o uneix dos laboratoris per una VPN. Tampoc no és urgent per a un sol lloc, i per això s’ajorna fins que la fusió ja està programada.

Abast i accés són qüestions separades

ULA no està pensat per a l’adreçament ordinari d’Internet encaminat globalment. Això no fa fiable cada host que el fa servir ni fa que aquests hosts siguin inabastables des d’altres xarxes privades connectades. Els tallafocs i els permisos de les aplicacions encara decideixen què pot utilitzar un parell, i el túnel encara aporta l’autenticació amb què es va configurar.

Una sortida a Internet necessita el seu propi disseny de sortida IPv6. Assignar una adreça ULA a un client no crea accés a destinacions globals arbitràries, i no s’ha d’esperar que un client que en rep una navegui per Internet públic a través seu.

Dos llocs amb prefixes diferents encara necessiten rutes de retorn per als rangs de l’altre, i tots dos tallafocs necessiten regles coincidents. Res d’això no es desprèn de la família d’adreces. El que es desprèn és feina de documentació: una taula de prefixes i els sistemes que poden respondre a cadascun.

Comproveu el pla als dos extrems

Confirmeu que el prefix apareix on penseu que apareix i, després, confirmeu que una destinació és realment abastable a través seu.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

El llistat d’adreces mostra quina interfície té quina subxarxa, i un client que n’ha rebut una de incorrecta normalment ho mostra aquí. El llistat de rutes mostra si el prefix remot té un camí pel túnel en lloc de ser descartat. La prova respon l’única pregunta que importa: si un paquet fa el viatge d’anada i tornada.

Repetiu la comprovació després d’una reconnexió, perquè un client que conserva l’adreça però perd la ruta produeix una connexió que sembla activa i no reenvia res. L’adreça és la part fàcil, i la ruta és el que desapareix. Guardeu totes dues sortides al costat del nom del perfil de connexió perquè la propera comparació comenci amb proves.