IPv6 ULA mewn VPN: cyfeiriadau preifat, nid preifatrwydd

Nid yw cyfeiriadau sy’n edrych yn breifat yn breifat yn yr ystyr y mae’r rhan fwyaf o bobl yn ei olygu, ac mae cyfeirio unigryw-lleol IPv6 yw’r achos cliriaf. Mae rhagddodiad ULA yn rhoi cynllun mewnol sefydlog i VPN ar gyfer yr adnoddau y tu ôl iddo. Nid yw’n amgryptio dim, nid yw’n dilysu partner, ac nid yw’n penderfynu pa wasanaethau y gall cleient eu cyrraedd. Triniaeth o’r rhagddodiad fel rheolaeth diogelwch yw’r camgymeriad y mae’r erthygl hon wedi’i hadeiladu i’w ddileu.

Yr hyn y mae’r rhagddodiad yn ei ddarparu mewn gwirionedd

Mae RFC 4193 yn neilltuo fc00::/7 ar gyfer defnydd lleol, gyda’r did L yn gwahaniaethu rhwng gofod a neilltuwyd yn lleol a’r ffurf a gedwir. Yn ymarferol mae hynny’n golygu mai fd00::/8 yw’r hyn rydych yn ei gynhyrchu. Mae’r fanyleb hefyd yn diffinio sut y dylid deillio’r ID byd-eang 40-did, fel nad yw safleoedd annibynnol yn dewis yr un rhagddodiad ar ddamwain. Mae’r gofod hwnnw wedi’i gynllunio i aros oddi ar y rhyngrwyd gyhoeddus, sy’n briodwedd llwybro yn hytrach na diogelwch.

O fewn safle, y cynllun arferol yw ID byd-eang /48 wedi’i rannu’n is-rwydweithiau: un ar gyfer cleientiaid y twnnel, un ar gyfer ochr y gweinydd, un ar gyfer pob LAN o bell. Y strwythur hwnnw yw’r budd cyfan, ac mae’n fudd cyfeirio. Mae angen llwybr ar bob pecyn o hyd ac mae angen polisi sy’n caniatáu hynny o hyd.

Cymysgu’r rhagddodiad â thwnnel yw’r ffordd y mae dyluniad yn gorffen drwy ddogfennu cyfeiriadau fd00 a chymryd yn ganiataol bod y traffig rhyngddynt yn cael ei ddiogelu. Nid yw, oni bai bod rhywbeth arall yn gwneud y diogelu.

Pam mae copïo rhagddodiad yr enghraifft yn brifo

Mae pob tiwtorial yn defnyddio rhagddodiad hawdd ei gofio, ac mae pob darllenydd sy’n ei gopïo yn etifeddu’r un risg o wrthdrawiad. Mae dau safle sy’n cysylltu’n ddiweddarach drwy dwnnel safle-i-safle â’r un ystodau yn cynhyrchu’n union yr amwysedd sy’n hysbys o ofod IPv4 preifat sy’n gorgyffwrdd. Nid yw’r naill ochr na’r llall yn anghywir ar ei phen ei hun, ac nid oes gan y rhwydwaith cyfun ffordd o ddweud pa gyrchfan a olygir.

Mae cynhyrchu’r ID byd-eang yn ôl y broses ddogfennedig yn cymryd munud ac yn dileu’r cwestiwn. Cofnodwch y rhagddodiad, y mewnbwn cynhyrchu a’r dyddiad wrth ymyl y cynllun cyfeiriadau.

Nid yw’r risg yn ddamcaniaethol i unrhyw un sy’n uno rhwydweithiau ar ôl caffael neu’n cysylltu dau labordy dros VPN. Nid yw ychwaith yn frys ar gyfer un safle, a dyna pam y caiff ei ohirio nes bod yr uno eisoes wedi’i drefnu.

Cwmpas a mynediad yw cwestiynau ar wahân

Nid yw ULA wedi’i fwriadu ar gyfer cyfeirio rhyngrwyd arferol a lwybrir yn fyd-eang. Nid yw hynny’n gwneud pob gwesteiwr sy’n ei ddefnyddio’n ddibynadwy, ac nid yw’n gwneud y gwesteiwyr hynny’n anghyrraeddadwy o rwydweithiau preifat cysylltiedig eraill. Mae muriau tân a chaniatadau cymwysiadau yn dal i benderfynu beth y gall partner ei ddefnyddio, ac mae’r twnnel yn dal i ddarparu’r dilysiad y cafodd ei ffurfweddu ag ef.

Mae angen dyluniad allfa IPv6 ei hun ar allanfa rhyngrwyd. Nid yw neilltuo cyfeiriad ULA i gleient yn creu mynediad at gyrchfannau byd-eang mympwyol, ac ni ddylid disgwyl i gleient sy’n derbyn un bori’r rhyngrwyd gyhoeddus drwyddo.

Mae dau safle â rhagddodiaid gwahanol yn dal i fod angen llwybrau dychwelyd ar gyfer ystodau ei gilydd, ac mae angen rheolau cyfatebol ar y ddau fur tân. Nid oes dim o hynny’n dilyn o’r teulu cyfeiriadau. Yr hyn sy’n dilyn yw gwaith dogfennu: tabl o ragddodiaid a’r systemau y caniateir iddynt ateb ar bob un.

Gwiriwch y cynllun ar y ddau ben

Cadarnhewch fod y rhagddodiad yn ymddangos lle rydych yn credu ei fod, yna cadarnhewch fod cyrchfan yn cyrraeddadwy drwyddo mewn gwirionedd.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Mae’r rhestr cyfeiriadau’n dangos pa ryngwyneb sy’n dal pa is-rwydwaith, ac mae cleient a gafodd yr un anghywir fel arfer yn dangos hynny yma. Mae’r rhestr llwybrau’n dangos a oes gan y rhagddodiad pell lwybr drwy’r twnnel yn hytrach na chael ei ollwng. Mae’r prawf yn ateb yr un cwestiwn sy’n bwysig, sef a yw pecyn yn gwneud y daith yno ac yn ôl.

Ailadroddwch y gwiriad ar ôl ailgysylltu, oherwydd mae cleient sy’n cadw ei gyfeiriad ond yn colli’r llwybr yn cynhyrchu cysylltiad sy’n edrych yn fyw ac yn anfon dim. Y cyfeiriad yw’r rhan hawdd, a’r llwybr yw’r hyn sy’n diflannu. Cadwch y ddau allbwn wrth enw’r proffil cysylltiad fel bod y gymhariaeth nesaf yn dechrau o dystiolaeth.