IPv6-aadressid ei asenda sinu VPN-i: käi algne ülesanne läbi

Ava kliendi olekuleht, näe globaalset IPv6-aadressi ja kiusatus on järeldada, et tunnelist on saanud valikuline. See leht näitab aadressi, mitte krüpteerimispiiri, mitte privaatset marsruutimistabelit ega juurdepääsuotsust. VPN kannab tavaliselt korraga kolme ülesannet ja IPv6 puudutab ainult seda, mis käsitleb napimate aadresside jagamist. Ühe teenuse läbikäimine kliendist kuulajani on ainus viis näha, milline ülesanne muudatusest alles jääb.

Nimeta ülesanne enne tööriista eemaldamist

Inimesed ütlevad „VPN”, kui mõtlevad ühte kolmest korraldusest, ja kõik kolm ebaõnnestuvad erinevatel põhjustel. Ühe meeskonna avaldatud rakenduse juurde jõudmine on rakendusjuurdepääsu probleem. Liitumine määratletud privaatvõrkude hulgaga, et mitu kohta üksteiseni jõuaks, on marsruutimissuhe. Stabiilse halduskihi hoidmine infrastruktuuri kohal, mida sa täielikult ei kontrolli, on oma aadressiplaaniga operatsioonikorraldus.

IPv6 kõrvaldab esimese korralduse puhul aadresside jagamise takistuse ja teeb seal tõelist tööd, sest otsene aadress võib tõlkija asendada. Kahe ülejäänu jaoks ei muuda see midagi, kuna nõue ei olnud kunagi aadresside nappus. Kirjuta üles, millist kolmest sa tegelikult käitad, enne kui konfiguratsiooni puudutad.

Avalik aadress ei ole krüpteerimine

Globaalse ulatusega aadress ütleb, kust host on kättesaadav; see ei ütle midagi selle kohta, kas sinna saabuv liiklus on krüpteeritud või autenditud. RFC 8504 turvakäsitlus eristab IPseci implementatsioonituge laiemast valikust IPseci, TLS-i, SSH ja muude lähenemisviiside vahel, mis on täpselt see erinevus, mis kaob, kui kättesaadavust loetakse kaitseks. Pinu, mis toetab mehhanismi, on tõestanud ainult, et mehhanism on saadaval, mitte kunagi seda, et see voog läbis selle. IPseci puhul otsustavad läbiräägitud assotsiatsioon ja selle valitud liiklus, mida kaitstakse, ning aadressiperekond on paketi omadus, mitte selle poliitika.

Kättesaadavus on jälle eraldi küsimus. Avalik aadress ei pane soovimata liiklust saabuma, sest marsruut, tulemüür ja kuulaja saavad igaüks hääle, ning NAT-i eemaldamine eemaldab ühe filtri, mitte kõik. Otsusta, millist neist kolmest tunnel asendas, kui üldse.

Mida ülekate veel pakub

Ülekate teenib oma kohta endiselt kolmes olukorras. Kaugkasutajad võivad vajada kindlat marsruutide kogumit ühe rakenduse asemel, kaks kohta võivad vajada privaatset kättesaadavuskokkulepet ja operaatorid võivad soovida adresseerimist, mis ei muutu, kui juurdepääsupakkuja muutub. Ükski kolmest ei käsitle IPv4-aadresside nappust.

Globaalsed aadressid ei tee seda hooldusvabaks. Korras sisemine plaan ei hoia välimist lõpp-punkti vastamas pärast seda, kui pakkuja selle muudab, ning autentimine, ühenduse taastamine ja nimede värskendused vajavad endiselt omanikku. Otsusta, kuidas need taastuvad, enne kui midagi välja lülitatakse.

Käi läbi teenus, millest saab avalik

Alusta hostist ja loetle, mis tegelikult kuulab, sest rakendus, mille heaks kiitsid, on masinas harva ainus asi. ss -lntup prindib iga TCP- ja UDP-kuulaja koos sidumisaadressiga ning lisab omava protsessi, kui sinu õigused seda lubavad, mis näitab ühe pilguga, kas haldusliides asub metamärgi aadressil või ainult loopbackil. Korda seda kujul ss -6 -lntup, kui sinu pinu hoiab IPv6-pesasid eraldi.

Seejärel liigita iga rida sihtrühma järgi. Rakenduse port, millel on oma autentimine ja transporditurve, võib avalikul aadressil sobida, samas kui haldusliides, mõõdikute lõpp-punkt ja andmebaasi port tavaliselt ei sobi. Üks heakskiidetud rakendus on otsus ainult selle rakenduse kohta, mitte kunagi luba paljastada iga hosti jagavat teenust. Iga rea sidumisaadress ütleb, kas avatus juba eksisteerib või tekiks plaanitava muudatusega.

Kaks testi, siis otsusta, mis välja lülitada

Enne kihi eemaldamist vasta paberil kahele küsimusele. Esiteks, kas nõue vajab privaatset marsruutimist, st kättesaadavust, mida avalik aadress ei eelda ja juurdepääsupakkuja ei paku? Teiseks, kas see vajab kaitsepiiri, st krüpteerimist ja autentimist voolul, mis muidu läbiks ebausaldusväärse tee avatult? Kui mõlemad vastused on selle teenuse puhul ei, on tunnel eemaldamise kandidaat; kui kumbki on jah, jääb see alles.

Käivita sama test IPv4 ja IPv6 jaoks eraldi kahe pinu kliendil, sest kaitstud IPv4-liiklus ei ütle IPv6-tee kohta midagi. Globaalne IPv6-aadress olekulehel ei ole lekkimise tõend ja selle puudumine ei ole kaitse tõend. Lülita välja ainult teenused, mille puhul mõlemad vastused kirjutati üles ja on endiselt ei, ning märgi muudatuste kirjesse, milline küsimus selle otsustas.