IPv6 ULA en VPN: privata adresado, ne privateco

Adresoj, kiuj aspektas privataj, ne estas privataj en la senco, kiun plej multaj homoj celas, kaj la unike-loka adresado de IPv6 estas la plej klara kazo. ULA-prefikso donas al VPN stabilan internan planon por la rimedoj malantaŭ ĝi. Ĝi ĉifras nenion, ne aŭtentikas partneron kaj ne decidas, kiujn servojn kliento rajtas atingi. Trakti la prefikson kiel sekurecan kontrolon estas la eraro, kiun ĉi tiu artikolo celas forigi.

Kion la prefikso fakte donas

RFC 4193 rezervas fc00::/7 por loka uzo, kaj la bito L distingas lokan asignitan spacon de la rezervita formo. En praktiko tio signifas, ke vi generas fd00::/8. La specifo ankaŭ difinas, kiel la 40-bita tutmonda ID estu derivita, por ke sendependaj ejoj ne hazarde elektu la saman prefikson. Tiu spaco estas desegnita resti ekster la publika interreto, kio estas propraĵo de enkursigado, ne protekto.

Ene de ejo, la kutima aranĝo estas tutmonda ID /48 dividita en subretojn: unu por tunelaj klientoj, unu por la servila flanko, unu por ĉiu fora LAN. Tiu strukturo estas la tuta avantaĝo, kaj ĝi estas avantaĝo de adresado. Ĉiu paketo ankoraŭ bezonas itineron kaj ankoraŭ bezonas politikon, kiu permesas ĝin.

Konfuzi la prefikson kun tunelo estas la maniero, kiel dezajno finiĝas dokumentante fd00-adresojn kaj supozante, ke la trafiko inter ili estas protektita. Ĝi ne estas, krom se io alia faras la protekton.

Kial kopii la ekzemplan prefikson doloras

Ĉiu lernilo uzas memorindan prefikson, kaj ĉiu leganto, kiu kopias ĝin, heredas la saman riskon de kolizio. Du ejoj, kiuj poste konektiĝas per ejo-al-eja tunelo kun identaj gamoj, produktas ĝuste tiun ambiguecon konatan de interkovrantaj privataj IPv4-spacoj. Neniu flanko estas malĝusta per si mem, kaj la kombinita reto ne havas rimedon por scii, kiun celon oni intencas.

Generi la tutmondan ID laŭ la dokumentita procezo prenas minuton kaj forigas la demandon. Notu la prefikson, la enigon de generado kaj la daton apud la adresa plano.

La risko ne estas teoria por iu, kiu kunfandas retojn post aĉeto aŭ kunigas du laboratoriojn per VPN. Ĝi ankaŭ ne estas urĝa por unu ejo, kaj tial ĝi estas prokrastata ĝis la kunfando jam estas planita.

Amplekso kaj aliro estas apartaj demandoj

ULA ne estas destinita por ordinara tutmonde enkursigita interreta adresado. Tio ne igas fidinda ĉiun gastigan komputilon, kiu uzas ĝin, kaj ne igas tiujn gastigantojn neatingeblaj de aliaj konektitaj privataj retoj. Fajroŝirmiloj kaj aplikaĵpermesoj ankoraŭ decidas, kion partnero rajtas uzi, kaj la tunelo ankoraŭ liveras la aŭtentikigon, per kiu ĝi estis agordita.

Interreta eliro bezonas propran IPv6-eliran dezajnon. Asigni ULA-adreson al kliento ne kreas aliron al arbitraj tutmondaj celoj, kaj de kliento, kiu ricevas unu, oni ne atendu, ke ĝi retumu la publikan interreton per ĝi.

Du ejoj kun malsamaj prefiksoj ankoraŭ bezonas revenajn itinerojn por la gamoj de la alia, kaj ambaŭ fajroŝirmiloj bezonas kongruajn regulojn. Nenio el tio sekvas el la adresa familio. Kio sekvas estas dokumenta laboro: tabelo de prefiksoj kaj la sistemoj rajtigitaj respondi sur ĉiu.

Kontrolu la planon ĉe ambaŭ finoj

Konfirmu, ke la prefikso aperas tie, kie vi pensas, kaj poste konfirmu, ke celo estas vere atingebla tra ĝi.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

La adreslisto montras, kiu interfaco tenas kiun subreton, kaj kliento, kiu ricevis la malĝustan, kutime montras tion ĉi tie. La itinerlisto montras, ĉu la fora prefikso havas vojon tra la tunelo anstataŭ esti forĵetata. La provo respondas la solan demandon, kiu gravas: ĉu paketo faras la vojaĝon tien kaj reen.

Ripetu la kontrolon post rekonekto, ĉar kliento, kiu konservas sian adreson sed perdas la itineron, produktas konekton, kiu aspektas aktiva kaj plusendas nenion. La adreso estas la facila parto, kaj la itinero estas tio, kio malaperas. Konservu ambaŭ eligojn apud la nomo de la konekta profilo, por ke la sekva komparo komenciĝu de pruvoj.