IPv6-ULA in einem VPN: private Adressierung, nicht Privatsphäre

Adressen, die privat aussehen, sind nicht privat in dem Sinne, den die meisten meinen, und die eindeutig lokale Adressierung von IPv6 ist der klarste Fall. Ein ULA-Präfix gibt einem VPN einen stabilen internen Plan für die Ressourcen dahinter. Es verschlüsselt nichts, authentifiziert keinen Peer und entscheidet nicht, welche Dienste ein Client erreichen darf. Das Präfix als Sicherheitskontrolle zu behandeln, ist der Fehler, den dieser Artikel beseitigen soll.

Was das Präfix tatsächlich bietet

RFC 4193 reserviert fc00::/7 für die lokale Nutzung, wobei das L-Bit lokal zugewiesenen Raum von der reservierten Form unterscheidet. In der Praxis heißt das, dass Sie fd00::/8 erzeugen. Die Spezifikation legt außerdem fest, wie die 40-Bit-Global-ID abgeleitet werden soll, damit unabhängige Standorte nicht versehentlich dasselbe Präfix wählen. Dieser Raum ist dafür ausgelegt, außerhalb des öffentlichen Internets zu bleiben, was eine Routing-Eigenschaft und kein Schutz ist.

Innerhalb eines Standorts ist die übliche Aufteilung eine /48-Global-ID, die in Subnetze unterteilt wird: eines für Tunnel-Clients, eines für die Serverseite, eines für jedes entfernte LAN. Diese Struktur ist der gesamte Nutzen, und es ist ein Adressierungsnutzen. Jedes Paket braucht weiterhin eine Route und weiterhin eine Richtlinie, die es erlaubt.

Das Präfix mit einem Tunnel zu verwechseln, ist der Weg, auf dem ein Entwurf am Ende fd00-Adressen dokumentiert und annimmt, der Verkehr dazwischen sei geschützt. Das ist er nicht, solange nicht etwas anderes den Schutz übernimmt.

Warum das Kopieren des Beispielpräfixes wehtut

Jedes Tutorial verwendet ein einprägsames Präfix, und jeder Leser, der es kopiert, erbt dasselbe Kollisionsrisiko. Zwei Standorte, die später über einen Standort-zu-Standort-Tunnel mit identischen Bereichen verbunden werden, erzeugen genau die Mehrdeutigkeit, die aus überlappenden privaten IPv4-Bereichen bekannt ist. Keine Seite ist für sich falsch, und das zusammengeführte Netzwerk kann nicht erkennen, welches Ziel gemeint ist.

Die Global-ID nach dem dokumentierten Verfahren zu erzeugen, dauert eine Minute und beseitigt die Frage. Notieren Sie das Präfix, die Eingabe der Erzeugung und das Datum neben dem Adressplan.

Das Risiko ist nicht theoretisch für alle, die nach einer Übernahme Netzwerke zusammenführen oder zwei Labore über ein VPN verbinden. Es ist für einen einzelnen Standort auch nicht dringend, weshalb es aufgeschoben wird, bis die Zusammenführung bereits geplant ist.

Umfang und Zugriff sind getrennte Fragen

ULA ist nicht für die gewöhnliche global geroutete Internetadressierung gedacht. Das macht nicht jeden Host, der sie verwendet, vertrauenswürdig, und es macht diese Hosts nicht aus anderen verbundenen privaten Netzen unerreichbar. Firewalls und Anwendungsberechtigungen entscheiden weiterhin, was ein Peer nutzen darf, und der Tunnel liefert weiterhin die Authentifizierung, mit der er konfiguriert wurde.

Ein Internetausgang braucht ein eigenes IPv6-Egress-Design. Einem Client eine ULA-Adresse zuzuweisen, schafft keinen Zugang zu beliebigen globalen Zielen, und von einem Client, der eine erhält, sollte nicht erwartet werden, dass er darüber das öffentliche Internet durchsucht.

Zwei Standorte mit unterschiedlichen Präfixen brauchen weiterhin Rückrouten für die Bereiche des jeweils anderen, und beide Firewalls brauchen passende Regeln. Nichts davon folgt aus der Adressfamilie. Was folgt, ist Dokumentationsarbeit: eine Tabelle der Präfixe und der Systeme, die auf jedem davon antworten dürfen.

Prüfen Sie den Plan an beiden Enden

Bestätigen Sie, dass das Präfix dort erscheint, wo Sie es vermuten, und bestätigen Sie dann, dass ein Ziel tatsächlich darüber erreichbar ist.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Die Adressauflistung zeigt, welche Schnittstelle welches Subnetz hat, und ein Client, der das falsche erhalten hat, zeigt es meist hier. Die Routenauflistung zeigt, ob das entfernte Präfix einen Weg durch den Tunnel hat, statt verworfen zu werden. Die Prüfung beantwortet die einzige Frage, die zählt: ob ein Paket den Hin- und Rückweg schafft.

Wiederholen Sie die Prüfung nach einer erneuten Verbindung, denn ein Client, der seine Adresse behält, aber die Route verliert, erzeugt eine Verbindung, die oben aussieht und nichts weiterleitet. Die Adresse ist der einfache Teil, und die Route ist das, was verschwindet. Speichern Sie beide Ausgaben neben dem Namen des Verbindungsprofils, damit der nächste Vergleich mit Belegen beginnt.