Οι διευθύνσεις IPv6 δεν αντικαθιστούν το VPN σας: επιστρέψτε στην αρχική εργασία

Ανοίξτε τη σελίδα κατάστασης του πελάτη, δείτε μια καθολική διεύθυνση IPv6 και ο πειρασμός είναι να συμπεράνετε ότι η σήραγγα έγινε προαιρετική. Η σελίδα εκείνη δείχνει μια διεύθυνση, όχι ένα όριο κρυπτογράφησης, όχι έναν πίνακα ιδιωτικής δρομολόγησης και όχι μια απόφαση πρόσβασης. Ένα VPN συνήθως φέρει τρεις εργασίες ταυτόχρονα, και το IPv6 αγγίζει μόνο εκείνη της κοινής χρήσης σπάνιων διευθύνσεων. Το να παρακολουθήσετε μια υπηρεσία από τον πελάτη έως τον ακροατή είναι ο μόνος τρόπος να δείτε ποια εργασία επιβιώνει της αλλαγής.

Ονομάστε την εργασία πριν αφαιρέσετε το εργαλείο

Οι άνθρωποι λένε «το VPN» εννοώντας μία από τρεις διατάξεις, και οι τρεις αποτυγχάνουν για διαφορετικούς λόγους. Το να φτάσετε μια εφαρμογή που δημοσιεύει μία ομάδα είναι πρόβλημα πρόσβασης εφαρμογής. Το να ενταχθείτε σε ένα καθορισμένο σύνολο ιδιωτικών δικτύων ώστε αρκετές τοποθεσίες να φτάνουν η μία την άλλη είναι σχέση δρομολόγησης. Το να διατηρείτε ένα σταθερό διοικητικό επίπεδο πάνω από υποδομή που δεν ελέγχετε πλήρως είναι λειτουργική διάταξη με δικό της σχέδιο διευθύνσεων.

Το IPv6 αφαιρεί ένα εμπόδιο κοινής χρήσης διευθύνσεων για την πρώτη διάταξη, και εκεί κάνει πραγματική δουλειά, γιατί μια άμεση διεύθυνση μπορεί να αντικαταστήσει έναν μεταφραστή. Για τις άλλες δύο δεν αλλάζει τίποτα, αφού η απαίτηση δεν ήταν ποτέ η σπανιότητα διευθύνσεων. Γράψτε ποια από τις τρεις εκτελείτε πραγματικά πριν αγγίξετε μια διαμόρφωση.

Μια δημόσια διεύθυνση δεν είναι κρυπτογράφηση

Μια διεύθυνση καθολικής εμβέλειας σας λέει πού μπορεί να φτάσει ένας κεντρικός υπολογιστής· δεν λέει τίποτα για το αν η κίνηση που φτάνει εκεί είναι κρυπτογραφημένη ή πιστοποιημένη. Η συζήτηση ασφάλειας του RFC 8504 διαχωρίζει την υποστήριξη υλοποίησης IPsec από την ευρύτερη επιλογή μεταξύ IPsec, TLS, SSH και άλλων προσεγγίσεων, και ακριβώς αυτή η διάκριση εξαφανίζεται όταν η διευθυνσιμότητα διαβάζεται ως προστασία. Ένα στοίβα που υποστηρίζει έναν μηχανισμό έχει αποδείξει μόνο ότι ο μηχανισμός είναι διαθέσιμος, ποτέ ότι αυτή η ροή πέρασε από αυτόν. Στο IPsec ειδικά, η διαπραγματευμένη συσχέτιση και η κίνηση που επιλέγει καθορίζουν τι προστατεύεται, και μια οικογένεια διευθύνσεων είναι ιδιότητα του πακέτου, όχι πολιτική γι αυτό.

Η προσβασιμότητα είναι πάλι ξεχωριστό ζήτημα. Μια δημόσια διεύθυνση δεν κάνει την ανεπιθύμητη κίνηση να φτάσει, γιατί η διαδρομή, το τείχος προστασίας και ο ακροατής έχουν καθένα μια ψήφο, και η αφαίρεση του NAT αφαιρεί ένα φίλτρο, όχι όλα. Αποφασίστε ποιο από τα τρία αντικαθιστούσε η σήραγγα, αν υπήρχε.

Τι παρέχει ακόμη το επίπεδο

Ένα επίπεδο συνεχίζει να κερδίζει τη θέση του σε τρεις καταστάσεις. Οι απομακρυσμένοι χρήστες μπορεί να χρειάζονται ένα συγκεκριμένο σύνολο διαδρομών αντί για μία εφαρμογή, δύο τοποθεσίες μπορεί να χρειάζονται συμφωνία ιδιωτικής προσβασιμότητας, και οι διαχειριστές μπορεί να θέλουν διευθυνσιοδότηση που δεν αλλάζει όταν αλλάζει ο πάροχος πρόσβασης. Καμία από τις τρεις δεν αφορά την έλλειψη διευθύνσεων IPv4.

Οι καθολικές διευθύνσεις δεν το κάνουν χωρίς συντήρηση. Ένα τακτοποιημένο εσωτερικό σχέδιο δεν κρατά το εξωτερικό άκρο να απαντά αφού ο πάροχος το αλλάξει, και η πιστοποίηση, η επανασύνδεση και οι ενημερώσεις ονομάτων χρειάζονται ακόμη ιδιοκτήτη. Αποφασίστε πώς αυτά ανακάμπτουν πριν απενεργοποιηθεί οτιδήποτε.

Παρακολουθήστε την υπηρεσία που γίνεται δημόσια

Ξεκινήστε από τον κεντρικό υπολογιστή και καταγράψτε τι πραγματικά ακούει, γιατί η εφαρμογή που εγκρίνατε σπάνια είναι το μόνο πράγμα στο μηχάνημα. ss -lntup εκτυπώνει κάθε ακροατή TCP και UDP με τη διεύθυνση δέσμευσής του και προσθέτει τη διεργασία κατόχου όπου το επιτρέπουν τα προνόμιά σας, κάτι που δείχνει με μια ματιά αν μια διοικητική διεπαφή κάθεται σε διεύθυνση μπαλαντέρ ή μόνο στο loopback. Αν η στοίβα σας κρατά τις υποδοχές IPv6 χωριστά, επαναλάβετε ως εξής: ss -6 -lntup.

Έπειτα ταξινομήστε κάθε γραμμή κατά κοινό. Μια θύρα εφαρμογής με δική της πιστοποίηση και ασφάλεια μεταφοράς μπορεί να είναι εντάξει σε δημόσια διεύθυνση, ενώ μια διοικητική διεπαφή, ένα άκρο μετρήσεων και μια θύρα βάσης δεδομένων συνήθως δεν είναι. Μία εγκεκριμένη εφαρμογή είναι κρίση μόνο γι αυτήν, ποτέ άδεια να εκτεθεί κάθε υπηρεσία που μοιράζεται τον κεντρικό υπολογιστή. Η διεύθυνση δέσμευσης σε κάθε γραμμή σας λέει αν η έκθεση υπάρχει ήδη ή αν θα τη δημιουργούσε η αλλαγή που σχεδιάζετε.

Δύο δοκιμές, μετά αποφασίστε τι θα απενεργοποιήσετε

Πριν αφαιρέσετε ένα επίπεδο, απαντήστε σε δύο ερωτήσεις στο χαρτί. Πρώτον, χρειάζεται η απαίτηση ιδιωτική δρομολόγηση, δηλαδή προσβασιμότητα που μια δημόσια διεύθυνση δεν συνεπάγεται και ο πάροχος πρόσβασης δεν προσφέρει; Δεύτερον, χρειάζεται όριο προστασίας, δηλαδή κρυπτογράφηση και πιστοποίηση σε μια ροή που αλλιώς θα διέσχιζε ανοιχτά μια μη αξιόπιστη διαδρομή; Αν και οι δύο απαντήσεις είναι όχι για εκείνη την υπηρεσία, η σήραγγα είναι υποψήφια για αφαίρεση· αν οποιαδήποτε είναι ναι, μένει.

Εκτελέστε την ίδια δοκιμή χωριστά σε IPv4 και IPv6 σε πελάτη διπλής στοίβας γιατί η προστατευμένη κίνηση IPv4 δεν λέει τίποτα για τη διαδρομή IPv6. Μια καθολική διεύθυνση IPv6 σε σελίδα κατάστασης δεν είναι απόδειξη διαρροής, και η απουσία της δεν είναι απόδειξη προστασίας. Απενεργοποιήστε μόνο τις υπηρεσίες όπου και οι δύο απαντήσεις έχουν καταγραφεί και είναι ακόμη όχι, και σημειώστε στο αρχείο αλλαγών ποια ερώτηση το αποφάσισε.