IPv6 ULA i en VPN: privat adressering, ikke privatliv

Adresser, der ser private ud, er ikke private i den betydning, de fleste mener, og IPv6's entydige lokale adressering er det tydeligste tilfælde. Et ULA-præfiks giver en VPN en stabil intern plan for ressourcerne bag den. Det krypterer intet, godkender ikke en peer og afgør ikke, hvilke tjenester en klient må nå. At behandle præfikset som en sikkerhedskontrol er den fejl, denne artikel skal fjerne.

Hvad præfikset faktisk giver

RFC 4193 reserverer fc00::/7 til lokal brug, idet L-bitten skelner lokalt tildelt plads fra den reserverede form. I praksis betyder det, at det er fd00::/8, du genererer. Specifikationen definerer også, hvordan det 40-bit globale ID skal udledes, så uafhængige sites ikke ved et uheld vælger samme præfiks. Det område er designet til at blive uden for det offentlige internet, hvilket er en routingegenskab og ikke en beskyttelse.

Inden for et site er den sædvanlige opbygning et /48 globalt ID opdelt i subnets: ét til tunnelklienter, ét til serversiden og ét til hvert eksternt LAN. Den struktur er hele fordelen, og det er en adresseringsfordel. Hver pakke har stadig brug for en rute og har stadig brug for en politik, der tillader den.

At forveksle præfikset med en tunnel er, hvordan et design ender med at dokumentere fd00-adresser og antage, at trafikken mellem dem er beskyttet. Det er den ikke, medmindre noget andet står for beskyttelsen.

Hvorfor det gør ondt at kopiere eksempelpræfikset

Hver vejledning bruger et let huskeligt præfiks, og hver læser, der kopierer det, arver den samme kollisionsrisiko. To sites, der senere forbindes via en site-til-site-tunnel med identiske intervaller, frembringer præcis den tvetydighed, der kendes fra overlappende private IPv4-områder. Ingen af siderne er forkert i sig selv, og det samlede netværk har ingen måde at afgøre, hvilken destination der menes.

At generere det globale ID efter den dokumenterede proces tager et minut og fjerner spørgsmålet. Notér præfikset, genereringsinputtet og datoen ved siden af adresseplanen.

Risikoen er ikke teoretisk for nogen, der sammenlægger netværk efter en overtagelse eller forbinder to laboratorier over en VPN. Den er heller ikke presserende for et enkelt site, og derfor udskydes den, indtil sammenlægningen allerede er planlagt.

Omfang og adgang er separate spørgsmål

ULA er ikke beregnet til almindelig globalt routet internetadressering. Det gør ikke enhver host, der bruger det, betroet, og det gør ikke disse hosts utilgængelige fra andre tilsluttede private netværk. Firewalls og applikationstilladelser afgør stadig, hvad en peer må bruge, og tunnelen leverer stadig den godkendelse, den blev konfigureret med.

En internetudgang har brug for sit eget IPv6-udgangsdesign. At tildele en ULA-adresse til en klient skaber ikke adgang til vilkårlige globale destinationer, og en klient, der får en, bør ikke forventes at browse det offentlige internet over den.

To sites med forskellige præfikser har stadig brug for returruter til hinandens intervaller, og begge firewalls har brug for matchende regler. Intet af det følger af adressefamilien. Det, der følger, er dokumentationsarbejde: en tabel over præfikser og de systemer, der må svare på hvert af dem.

Kontroller planen på begge ender

Bekræft, at præfikset optræder, hvor du tror, det gør, og bekræft derefter, at en destination faktisk er nåelig gennem det.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Adresselisten viser, hvilken grænseflade der har hvilket subnet, og en klient, der har fået det forkerte, viser det normalt her. Rutelisten viser, om det eksterne præfiks har en vej gennem tunnelen i stedet for at blive droppet. Testen besvarer det eneste spørgsmål, der betyder noget: om en pakke tager turen frem og tilbage.

Gentag kontrollen efter en genopkobling, fordi en klient, der beholder sin adresse, men mister ruten, giver en forbindelse, der ser oppe ud og sender intet videre. Adressen er den nemme del, og ruten er det, der forsvinder. Gem begge output ved siden af forbindelsesprofilens navn, så den næste sammenligning begynder med bevis.