Adresy soukromí IPv6, nebo seznam povolených RDP: vyberte kompromis

Přístup ke vzdálené ploše fungoval měsíc, a pak se seznam povolených přestal shodovat bez důvodu, který by kdokoli viděl. Host se nepřesunul a ve firewallu se nic neupravovalo. Windows stále vytváří dočasné adresy IPv6 s náhodnými identifikátory rozhraní a ruší je, takže zdrojová adresa, kterou server v daný den vidí, může být ta, kterou nikdo do pravidla nezapsal. Vypnutí tohoto chování opraví shodu a zároveň promění host v dlouhodobý identifikátor. Zvažte alternativy, než přijmete druhou polovinu.

Proč se pravidlo přestalo shodovat

RFC 4941 popisuje dočasné adresy: host vytváří další adresy s náhodnými identifikátory a ruší je, což pozorovateli brání korelovat jeden host napříč návštěvami. Windows toto chování implementuje, takže včerejší zdrojová adresa nemusí být ta dnešní. Předvídatelná adresa na rozhraní stále existuje; prostě to není ta, kterou odchozí spojení preferuje.

Proto porucha vypadá přerušovaně, nikoli úplně. Pravidlo se shoduje nějakou dobu po vytvoření adresy, přestane se shodovat, jakmile je zrušena, a znovu se začne shodovat poté, co ji někdo upraví. Monitorování seskupené podle zdrojové adresy a licenční kontroly vázané na adresu hostu se lámou ve stejném rozvrhu. Pravidlo, které funguje hned po úpravě a selže za tři týdny, je obvykle toto, ne znovunačtení firewallu.

Možnost jedna: jedna stabilní adresa, méně soukromí

Obvyklá oprava vypne oba rotační mechanismy na hostu: netsh interface ipv6 set privacy state=disabled store=persistent a netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Přidejte store=active, pokud chcete, aby změna platila bez čekání na restart, a přijměte, že jste nyní učinili identifikátor předvídatelným napříč sítěmi.

Tato předvídatelnost je přesně to, čemu měla rozšíření zabránit. Adresa, která následuje host z kavárny do kanceláře a domů, je pohodlný klíč pro filtrování a stejně pohodlný klíč pro sledování, a druhá vlastnost přežívá tiket, který si vyžádal první.

Možnost dva: povolte prefix nebo jméno

Povolení /64 namísto úplné adresy zachová rotaci nedotčenou a odpovídá slabšímu, ale často poctivému tvrzení: tento stroj je na mé domácí síti. Přestane to stačit ve chvíli, kdy tento prefix obsahuje hosty, které byste nepřipustili, což je u spotřebitelského připojení obvykle menší množina, než lidé předpokládají. Jméno publikované přes dynamický DNS se provozuje snadněji, protože záznam následuje host a zásada se čte jako identita, nikoli jako rozsah, který roste při každém přidání zařízení.

Obě možnosti potřebují resolver, kterému server může věřit, a jméno, které nelze triviálně podvrhnout, takže je berte jako politické rozhodnutí o identitě, nikoli jako kosmetickou změnu pravidla. Zapište, který resolver na to jméno odpovídá, protože pravidlo je jen tak důvěryhodné jako záznam za ním.

Možnost tři: nechte tunel přidělit adresu

Pokud spojení prochází VPN, kterou ovládáte, server může adresu přidělit ze svého fondu a seznam povolených pak odkazuje na hodnotu, kterou volí server, nikoli na tu, kterou preferuje klient. To funguje dobře pro spravované klienty a špatně pro cokoli, co klient může přebít, takže ověřte, která strana ve vašem nasazení skutečně vyhrává.

Přesun rozhodnutí zcela mimo adresu, na klientský certifikát nebo autentizovanou bránu, je možnost, která škáluje, protože přestává záviset na hodnotě, kterou má operační systém právo měnit.

Vybírejte s ohledem na náklady sledování

Zapište čtyři možnosti proti skutečnému požadavku a vyberte jednu, místo abyste je kombinovali. Pokud soukromí přesto vypnete, omezte je na host, který ho potřebuje, zdokumentujte důvod vedle pravidla a zvažte stabilně-soukromé adresování z RFC 7217 tam, kde ho platforma podporuje, protože zachovává identifikátor pro každý prefix, aniž by odhalilo ten odvozený z hardwaru. Až bude seznam povolených nahrazen, rozšíření znovu zapněte.

Zaznamenejte změnu vedle pravidla, které podporuje. Bez té poznámky najde další správce host s vypnutými rozšířeními soukromí a bez vysvětlení a během úklidu je znovu zapne.