IPv6 ULA ve VPN: privátní adresování, ne soukromí

Adresy, které vypadají privátně, privátní nejsou ve smyslu, který většina lidí míní, a unikátně lokální adresování IPv6 je nejjasnější případ. Prefix ULA dává VPN stabilní vnitřní plán pro prostředky za ním. Nic nešifruje, neautentizuje protistranu a nerozhoduje, ke kterým službám se klient smí dostat. Považovat prefix za bezpečnostní kontrolu je chyba, kterou má tento článek odstranit.

Co prefix skutečně poskytuje

RFC 4193 vyčleňuje fc00::/7 pro místní použití, přičemž bit L odlišuje lokálně přidělený prostor od rezervované formy. V praxi to znamená, že generujete fd00::/8. Specifikace také definuje, jak se má odvodit 40bitový globální identifikátor, aby nezávislá místa omylem nezvolila stejný prefix. Tento prostor je navržen tak, aby zůstal mimo veřejný internet, což je vlastnost směrování, nikoli ochrana.

V rámci jednoho místa je obvyklé uspořádání globální identifikátor /48 rozdělený na podsítě: jedna pro klienty tunelu, jedna pro stranu serveru, jedna pro každou vzdálenou LAN. Tato struktura je celý přínos a je to přínos adresování. Každý paket stále potřebuje trasu a stále potřebuje politiku, která jej povoluje.

Zaměnit prefix s tunelem je způsob, jakým návrh skončí tím, že zdokumentuje adresy fd00 a předpokládá, že provoz mezi nimi je chráněn. Není, pokud ochranu neposkytuje něco jiného.

Proč kopírování ukázkového prefixu bolí

Každý návod používá zapamatovatelný prefix a každý čtenář, který jej zkopíruje, zdědí stejné riziko kolize. Dvě místa, která se později spojí tunelem mezi lokalitami se shodnými rozsahy, vytvoří přesně tu nejednoznačnost známou z překrývajícího se privátního prostoru IPv4. Ani jedna strana není sama o sobě špatná a spojená síť nemá jak zjistit, které cílové umístění se míní.

Vygenerování globálního identifikátoru podle dokumentovaného postupu zabere minutu a otázku odstraní. Zaznamenejte prefix, vstupní data generování a datum vedle plánu adres.

Riziko není teoretické pro nikoho, kdo slučuje sítě po akvizici nebo propojuje dvě laboratoře přes VPN. Není také naléhavé pro jediné místo, a proto se odkládá, dokud už není sloučení naplánováno.

Rozsah a přístup jsou oddělené otázky

ULA není určeno pro běžné globálně směrované internetové adresování. Nečiní to každý host, který je používá, důvěryhodným a nečiní to tyto hosty nedostupnými z jiných připojených privátních sítí. Firewally a oprávnění aplikací stále rozhodují, co smí protistrana použít, a tunel stále poskytuje to ověřování, s nímž byl nakonfigurován.

Internetový odchod potřebuje vlastní návrh odchodu IPv6. Přidělení adresy ULA klientovi nevytváří přístup k libovolným globálním cílům a od klienta, který ji dostane, se nemá očekávat, že přes ni bude procházet veřejný internet.

Dvě místa s různými prefixy stále potřebují zpětné trasy pro rozsahy toho druhého a oba firewally potřebují odpovídající pravidla. Nic z toho nevyplývá z rodiny adres. Co vyplývá, je dokumentační práce: tabulka prefixů a systémů, které smějí na každém z nich odpovídat.

Ověřte plán na obou koncích

Ověřte, že se prefix objevuje tam, kde si myslíte, a pak ověřte, že je cíl skutečně přes něj dosažitelný.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Výpis adres ukazuje, které rozhraní drží kterou podsíť, a klient, který dostal špatnou, to obvykle ukáže zde. Výpis tras ukazuje, zda má vzdálený prefix cestu tunelem, místo aby byl zahozen. Test odpovídá na jedinou otázku, která je důležitá: zda paket udělá cestu tam a zpět.

Kontrolu zopakujte po opětovném připojení, protože klient, který si ponechá adresu, ale ztratí trasu, vytvoří spojení, které vypadá jako navázané a nic nepředává. Adresa je ta snadná část a trasa je to, co mizí. Uložte oba výstupy vedle názvu profilu připojení, aby další srovnání začínalo od důkazů.