Adresy IPv6 nenahradí vaše VPN: vraťte se k původnímu úkolu

Otevřete stavovou stránku klienta, uvidíte globální adresu IPv6 a pokušení uzavřít, že tunel se stal volitelným. Ta stránka ukazuje adresu, ne hranici šifrování, ne tabulku privátního směrování a ne rozhodnutí o přístupu. VPN obvykle nese tři úkoly najednou a IPv6 se dotýká jen toho o sdílení vzácných adres. Projít jednu službu od klienta k posluchači je jediný způsob, jak zjistit, který úkol změnu přežije.

Pojmenujte úkol, než nástroj odstraníte

Lidé říkají „VPN“, když míní jedno ze tří uspořádání, a všechna tři selhávají z různých důvodů. Dosáhnout jedné aplikace, kterou publikuje jeden tým, je problém přístupu k aplikaci. Připojit se k určené množině privátních sítí, aby se několik lokalit navzájem dosáhlo, je směrovací vztah. Udržovat stabilní administrativní vrstvu nad infrastrukturou, kterou plně neovládáte, je provozní uspořádání s vlastním plánem adres.

IPv6 odstraňuje překážku sdílení adres u prvního uspořádání a tam dělá skutečnou práci, protože přímá adresa může nahradit překladač. U ostatních dvou nemění nic, protože požadavkem nikdy nebyl nedostatek adres. Zapište, které ze tří skutečně provozujete, než se dotknete konfigurace.

Veřejná adresa není šifrování

Adresa s globálním rozsahem říká, kde je host dosažitelný; neříká nic o tom, zda provoz, který tam přichází, je šifrovaný nebo ověřený. Bezpečnostní diskuse v RFC 8504 odděluje podporu implementace IPsec od širší volby mezi IPsec, TLS, SSH a dalšími přístupy, a to je právě rozdíl, který mizí, když se adresovatelnost čte jako ochrana. Stack, který mechanismus podporuje, dokázal jen, že mechanismus je dostupný, nikdy že tento tok jím prošel. U IPsec konkrétně rozhoduje o tom, co je chráněno, vyjednaná asociace a provoz, který vybírá, a adresní rodina je vlastnost paketu, ne politika pro něj.

Dosažitelnost je opět samostatná otázka. Veřejná adresa nezpůsobí, že nevyžádaný provoz dorazí, protože trasa, firewall i posluchač mají každý hlas, a odstranění NAT odstraňuje jeden filtr, ne všechny. Rozhodněte, které z těch tří tunel zastupoval, pokud některé.

Co vrstva stále poskytuje

Vrstva si své místo dál zaslouží ve třech situacích. Vzdálení uživatelé mohou potřebovat určitou množinu tras místo jedné aplikace, dvě lokality mohou potřebovat dohodu o privátní dosažitelnosti a provozovatelé mohou chtít adresování, které se nemění, když se změní poskytovatel přístupu. Žádná ze tří není o nedostatku adres IPv4.

Globální adresy to nečiní bezúdržbovým. Uspořádaný vnitřní plán neudrží vnější koncový bod odpovídat poté, co jej poskytovatel změní, a ověřování, opětovné připojení a aktualizace jmen stále potřebují vlastníka. Rozhodněte, jak se tyto věci obnoví, než se cokoli vypne.

Projděte službu, která se stane veřejnou

Začněte na hostiteli a vypište, co skutečně naslouchá, protože aplikace, kterou jste schválili, je na stroji málokdy jediná. ss -lntup vypíše každý posluchač TCP a UDP s adresou vazby a přidá vlastnící proces, kde to oprávnění dovolí, což na první pohled ukáže, zda administrativní rozhraní sedí na adrese se zástupným znakem, nebo jen na loopbacku. Pokud váš stack drží sockety IPv6 odděleně, zopakujte to takto: ss -6 -lntup.

Potom každý řádek zařaďte podle publika. Port aplikace s vlastním ověřováním a transportním zabezpečením může být na veřejné adrese v pořádku, zatímco administrativní rozhraní, koncový bod metrik a port databáze obvykle ne. Jedna schválená aplikace je úsudek jen o ní, nikdy svolení vystavit každou službu sdílející hostitele. Adresa vazby na každém řádku říká, zda expozice už existuje, nebo by ji vytvořila změna, kterou plánujete.

Dva testy, potom rozhodněte, co vypnout

Než vrstvu odstraníte, odpovězte na papíře dvě otázky. Za prvé, potřebuje požadavek privátní směrování, tedy dosažitelnost, kterou veřejná adresa neimplikuje a poskytovatel přístupu nenabízí? Za druhé, potřebuje hranici ochrany, tedy šifrování a ověřování toku, který by jinak přešel nedůvěryhodnou cestu otevřeně? Pokud jsou obě odpovědi pro tuto službu ne, je tunel kandidátem na odstranění; pokud je některá ano, zůstává.

Proveďte stejný test zvlášť přes IPv4 a IPv6 na dual-stack klientovi protože chráněný provoz IPv4 neříká nic o cestě IPv6. Globální adresa IPv6 na stavové stránce není důkazem úniku a její nepřítomnost není důkazem ochrany. Vypněte jen služby, u nichž byly obě odpovědi zapsány a stále jsou ne, a do záznamu o změně poznamenejte, která otázka to rozhodla.