IPv6-Adressen ersetzen kein VPN: Prüfen Sie zuerst die ursprüngliche Aufgabe

Öffnen Sie die Statusseite des Clients, sehen Sie eine globale IPv6-Adresse, und schon liegt die Schlussfolgerung nahe, der Tunnel sei optional geworden. Diese Seite zeigt eine Adresse, keine Verschlüsselungsgrenze, keine private Routing-Tabelle und keine Zugriffsentscheidung. Ein VPN trägt meist drei Aufgaben zugleich, und IPv6 berührt nur jene der gemeinsamen Nutzung knapper Adressen. Einen Dienst vom Client bis zum Listener zu verfolgen ist der einzige Weg zu sehen, welche Aufgabe die Änderung übersteht.

Benennen Sie die Aufgabe, bevor Sie das Werkzeug entfernen

Leute sagen „das VPN“, wenn sie eine von drei Anordnungen meinen, und alle drei scheitern aus unterschiedlichen Gründen. Eine von einem Team veröffentlichte Anwendung zu erreichen ist ein Anwendungszugriffsproblem. Sich einem festgelegten Satz privater Netze anzuschließen, damit mehrere Standorte einander erreichen, ist eine Routingbeziehung. Ein stabiles administratives Overlay über Infrastruktur zu halten, die Sie nicht vollständig kontrollieren, ist eine Betriebsanordnung mit eigenem Adressplan.

IPv6 beseitigt für die erste Anordnung ein Hindernis der Adressfreigabe und leistet dort echte Arbeit, weil eine direkte Adresse einen Übersetzer ersetzen kann. Für die beiden anderen ändert es nichts, denn die Anforderung war nie Adressknappheit. Schreiben Sie auf, welche der drei Sie tatsächlich betreiben, bevor Sie eine Konfiguration anfassen.

Eine öffentliche Adresse ist keine Verschlüsselung

Eine Adresse mit globalem Geltungsbereich sagt, wo ein Host erreichbar ist; sie sagt nichts darüber, ob der dort ankommende Verkehr verschlüsselt oder authentifiziert ist. Die Sicherheitsdiskussion in RFC 8504 trennt die Unterstützung der IPsec-Implementierung von der breiteren Wahl zwischen IPsec, TLS, SSH und anderen Ansätzen, und genau diese Unterscheidung verschwindet, wenn Adressierbarkeit als Schutz gelesen wird. Ein Stack, der einen Mechanismus unterstützt, hat nur bewiesen, dass der Mechanismus verfügbar ist, nie dass dieser Fluss ihn durchlaufen hat. Bei IPsec entscheiden die ausgehandelte Assoziation und der von ihr ausgewählte Verkehr, was geschützt ist, und eine Adressfamilie ist eine Eigenschaft des Pakets, keine Richtlinie für es.

Erreichbarkeit ist wieder eine eigene Frage. Eine öffentliche Adresse lässt unaufgeforderten Verkehr nicht ankommen, denn Route, Firewall und Listener haben jeweils eine Stimme, und NAT zu entfernen entfernt einen Filter, nicht alle. Entscheiden Sie, welche der drei der Tunnel ersetzte, falls überhaupt eine.

Was das Overlay weiterhin liefert

Ein Overlay verdient seinen Platz weiterhin in drei Situationen. Entfernte Nutzer brauchen vielleicht einen bestimmten Satz Routen statt einer Anwendung, zwei Standorte brauchen vielleicht eine Vereinbarung über private Erreichbarkeit, und Betreiber wollen vielleicht Adressierung, die sich nicht ändert, wenn der Zugangsanbieter wechselt. Keine der drei handelt von der Knappheit an IPv4-Adressen.

Globale Adressen machen das nicht wartungsfrei. Ein ordentlicher innerer Plan hält den äußeren Endpunkt nicht am Antworten, nachdem der Anbieter ihn geändert hat, und Authentifizierung, Wiederverbindung und Namensaktualisierungen brauchen weiterhin einen Eigentümer. Entscheiden Sie, wie sich das erholt, bevor etwas abgeschaltet wird.

Verfolgen Sie den Dienst, der öffentlich wird

Beginnen Sie am Host und listen Sie auf, was tatsächlich lauscht, denn die von Ihnen freigegebene Anwendung ist selten das Einzige auf der Maschine. ss -lntup gibt jeden TCP- und UDP-Listener mit seiner Bind-Adresse aus und fügt den besitzenden Prozess hinzu, wo Ihre Rechte es erlauben, was auf einen Blick zeigt, ob eine Verwaltungsschnittstelle auf einer Wildcard-Adresse oder nur auf Loopback sitzt. Hält Ihr Stack IPv6-Sockets getrennt, wiederholen Sie es so: ss -6 -lntup.

Ordnen Sie dann jede Zeile nach Publikum ein. Ein Anwendungsport mit eigener Authentifizierung und Transportsicherheit kann auf einer öffentlichen Adresse in Ordnung sein, während eine Verwaltungsschnittstelle, ein Metrik-Endpunkt und ein Datenbankport es meist nicht sind. Eine freigegebene Anwendung ist ein Urteil nur über diese Anwendung, nie die Erlaubnis, jeden Dienst auf dem Host freizulegen. Die Bind-Adresse in jeder Zeile sagt, ob die Exposition schon besteht oder ob die geplante Änderung sie schaffen würde.

Zwei Tests, dann entscheiden Sie, was abgeschaltet wird

Bevor Sie eine Schicht entfernen, beantworten Sie zwei Fragen auf Papier. Erstens: Braucht die Anforderung privates Routing, also Erreichbarkeit, die eine öffentliche Adresse nicht impliziert und der Zugangsanbieter nicht bietet? Zweitens: Braucht sie eine Schutzgrenze, also Verschlüsselung und Authentifizierung für einen Fluss, der sonst einen nicht vertrauenswürdigen Pfad offen überqueren würde? Sind für diesen Dienst beide Antworten nein, ist der Tunnel ein Kandidat für die Entfernung; ist eine davon ja, bleibt er.

Führen Sie denselben Test getrennt über IPv4 und IPv6 auf einem Dual-Stack-Client aus denn geschützter IPv4-Verkehr sagt nichts über den IPv6-Pfad. Eine globale IPv6-Adresse auf einer Statusseite ist kein Beweis für ein Leck, und eine fehlende ist kein Beweis für Schutz. Schalten Sie nur die Dienste ab, bei denen beide Antworten notiert und weiterhin nein sind, und vermerken Sie im Änderungsprotokoll, welche Frage entschieden hat.