IPv6 ULA σε ένα VPN: ιδιωτική διευθυνσιοδότηση, όχι ιδιωτικότητα

Οι διευθύνσεις που μοιάζουν ιδιωτικές δεν είναι ιδιωτικές με την έννοια που εννοεί η πλειονότητα, και η τοπικά μοναδική διευθυνσιοδότηση του IPv6 είναι η πιο καθαρή περίπτωση. Ένα πρόθεμα ULA δίνει σε ένα VPN ένα σταθερό εσωτερικό σχέδιο για τους πόρους πίσω του. Δεν κρυπτογραφεί τίποτα, δεν πιστοποιεί κάποιον ομότιμο και δεν αποφασίζει σε ποιες υπηρεσίες μπορεί να φτάσει ένας πελάτης. Το να αντιμετωπίζεται το πρόθεμα ως έλεγχος ασφαλείας είναι το λάθος που αυτό το άρθρο έχει σκοπό να εξαλείψει.

Τι παρέχει στην πραγματικότητα το πρόθεμα

Το RFC 4193 δεσμεύει το fc00::/7 για τοπική χρήση, με το bit L να διακρίνει τον τοπικά εκχωρημένο χώρο από τη δεσμευμένη μορφή. Στην πράξη αυτό σημαίνει ότι αυτό που δημιουργείτε είναι το fd00::/8. Η προδιαγραφή ορίζει επίσης πώς πρέπει να παράγεται το 40-bit καθολικό ID, ώστε ανεξάρτητες τοποθεσίες να μην επιλέγουν κατά λάθος το ίδιο πρόθεμα. Ο χώρος αυτός είναι σχεδιασμένος να μένει εκτός του δημόσιου διαδικτύου, που είναι ιδιότητα δρομολόγησης και όχι προστασία.

Μέσα σε μια τοποθεσία, η συνήθης διάταξη είναι ένα καθολικό ID /48 χωρισμένο σε υποδίκτυα: ένα για τους πελάτες της σήραγγας, ένα για την πλευρά του διακομιστή, ένα για κάθε απομακρυσμένο LAN. Αυτή η δομή είναι το σύνολο του οφέλους, και είναι όφελος διευθυνσιοδότησης. Κάθε πακέτο εξακολουθεί να χρειάζεται διαδρομή και εξακολουθεί να χρειάζεται πολιτική που το επιτρέπει.

Το να συγχέεται το πρόθεμα με μια σήραγγα είναι ο τρόπος με τον οποίο ένα σχέδιο καταλήγει να τεκμηριώνει διευθύνσεις fd00 και να υποθέτει ότι η κίνηση μεταξύ τους προστατεύεται. Δεν προστατεύεται, εκτός αν κάτι άλλο παρέχει την προστασία.

Γιατί το αντίγραφο του παραδείγματος πονάει

Κάθε οδηγός χρησιμοποιεί ένα εύκολο στη μνήμη πρόθεμα, και κάθε αναγνώστης που το αντιγράφει κληρονομεί τον ίδιο κίνδυνο σύγκρουσης. Δύο τοποθεσίες που αργότερα συνδέονται μέσω σήραγγας τοποθεσίας-σε-τοποθεσία με πανομοιότυπα εύρη παράγουν ακριβώς την ασάφεια που είναι γνωστή από τον επικαλυπτόμενο ιδιωτικό χώρο IPv4. Καμία πλευρά δεν είναι λάθος από μόνη της, και το συνδυασμένο δίκτυο δεν έχει τρόπο να καταλάβει ποιος προορισμός εννοείται.

Η δημιουργία του καθολικού ID με τη τεκμηριωμένη διαδικασία παίρνει ένα λεπτό και αφαιρεί το ερώτημα. Καταγράψτε το πρόθεμα, την είσοδο δημιουργίας και την ημερομηνία δίπλα στο σχέδιο διευθύνσεων.

Ο κίνδυνος δεν είναι θεωρητικός για όποιον συγχωνεύει δίκτυα μετά από εξαγορά ή συνδέει δύο εργαστήρια μέσω VPN. Δεν είναι επίσης επείγων για μία μόνο τοποθεσία, και γι' αυτό αναβάλλεται μέχρι να έχει ήδη προγραμματιστεί η συγχώνευση.

Εύρος και πρόσβαση είναι ξεχωριστά ερωτήματα

Το ULA δεν προορίζεται για τη συνήθη καθολικά δρομολογούμενη διευθυνσιοδότηση του διαδικτύου. Αυτό δεν καθιστά αξιόπιστο κάθε υπολογιστή που το χρησιμοποιεί, ούτε κάνει αυτούς τους υπολογιστές μη προσπελάσιμους από άλλα συνδεδεμένα ιδιωτικά δίκτυα. Τα τείχη προστασίας και οι άδειες εφαρμογών εξακολουθούν να αποφασίζουν τι μπορεί να χρησιμοποιήσει ένας ομότιμος, και η σήραγγα εξακολουθεί να παρέχει την πιστοποίηση με την οποία ρυθμίστηκε.

Μια έξοδος στο διαδίκτυο χρειάζεται δικό της σχέδιο εξόδου IPv6. Η εκχώρηση διεύθυνσης ULA σε έναν πελάτη δεν δημιουργεί πρόσβαση σε αυθαίρετους καθολικούς προορισμούς, και από έναν πελάτη που λαμβάνει μία δεν πρέπει να αναμένεται να περιηγηθεί στο δημόσιο διαδίκτυο μέσω αυτής.

Δύο τοποθεσίες με διαφορετικά προθέματα χρειάζονται ακόμη διαδρομές επιστροφής για τα εύρη η μία της άλλης, και τα δύο τείχη προστασίας χρειάζονται κανόνες που ταιριάζουν. Τίποτα από αυτά δεν προκύπτει από την οικογένεια διευθύνσεων. Αυτό που προκύπτει είναι εργασία τεκμηρίωσης: ένας πίνακας προθεμάτων και των συστημάτων που επιτρέπεται να απαντούν σε καθένα.

Ελέγξτε το σχέδιο και στα δύο άκρα

Επιβεβαιώστε ότι το πρόθεμα εμφανίζεται εκεί που νομίζετε, και έπειτα επιβεβαιώστε ότι ένας προορισμός είναι πραγματικά προσπελάσιμος μέσω αυτού.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Η λίστα διευθύνσεων δείχνει ποια διεπαφή κρατά ποιο υποδίκτυο, και ένας πελάτης που πήρε το λάθος το δείχνει συνήθως εδώ. Η λίστα διαδρομών δείχνει αν το απομακρυσμένο πρόθεμα έχει μονοπάτι μέσα από τη σήραγγα αντί να απορρίπτεται. Η δοκιμή απαντά στο μόνο ερώτημα που μετράει: αν ένα πακέτο κάνει τη διαδρομή με επιστροφή.

Επαναλάβετε τον έλεγχο μετά από επανασύνδεση, επειδή ένας πελάτης που κρατά τη διεύθυνση αλλά χάνει τη διαδρομή παράγει σύνδεση που φαίνεται ενεργή και δεν προωθεί τίποτα. Η διεύθυνση είναι το εύκολο μέρος, και η διαδρομή είναι αυτό που εξαφανίζεται. Αποθηκεύστε και τις δύο εξόδους δίπλα στο όνομα του προφίλ σύνδεσης, ώστε η επόμενη σύγκριση να ξεκινά από στοιχεία.