IPv6 privaatsusaadressid või RDP lubatud loend: valige kompromiss

Kaugtöölaua juurdepääs töötas kuu aega, ja siis lakkas lubatud loend sobimast ilma põhjuseta, mida keegi näha võis. Host ei olnud liikunud ja tulemüüris ei olnud midagi muudetud. Windows jätkab ajutiste IPv6-aadresside loomist juhuslike liidese identifikaatoritega ja nende tagasivõtmist, nii et lähteaadress, mida server mingil päeval näeb, võib olla selline, mida keegi reeglisse ei kirjutanud. Selle käitumise väljalülitamine parandab sobivuse ja muudab hosti samal ajal pikaajaliseks identifikaatoriks. Kaaluge alternatiive enne, kui nõustute teise poolega.

Miks reegel sobimast lakkas

RFC 4941 kirjeldab ajutisi aadresse: host loob täiendavaid aadresse juhuslike identifikaatoritega ja võtab need tagasi, mis takistab vaatlejal ühte hosti külastuste lõikes korreleerida. Windows rakendab seda käitumist, nii et eilne lähteaadress ei ole tingimata tänane. Prognoositav aadress on liidesel endiselt olemas; lihtsalt see ei ole see, mida väljuv ühendus eelistab.

Seetõttu näib tõrge katkendlikuna, mitte täielikuna. Reegel sobib mõnda aega pärast aadressi loomist, lakkab sobimast, kui see tagasi võetakse, ja hakkab uuesti sobima pärast seda, kui keegi seda muudab. Lähteaadressi järgi grupeeritud jälgimine ja hosti aadressile seatud litsentsikontrollid purunevad sama ajakava järgi. Reegel, mis töötab kohe pärast muutmist ja ebaõnnestub kolm nädalat hiljem, on tavaliselt see, mitte tulemüüri uuestilaadimine.

Valik üks: üks stabiilne aadress, vähem privaatsust

Tavaline parandus lülitab hostil välja mõlemad pöörlemismehhanismid: netsh interface ipv6 set privacy state=disabled store=persistent ja netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Lisage store=active, kui soovite, et muudatus jõustuks ilma taaskäivitust ootamata, ja nõustuge, et olete identifikaatori nüüd võrkude lõikes prognoositavaks teinud.

See prognoositavus on täpselt see, mille vältimiseks laiendused loodi. Aadress, mis järgib hosti kohvikust kontorisse ja koju, on mugav filtreerimisvõti ja sama mugav jälgimisvõti, ning teine omadus elab kauem kui pilet, mis esimest palus.

Valik kaks: lubage prefiks või nimi

/64 lubamine täisaadressi asemel hoiab pöörlemise puutumatuna ja vastab nõrgemale, kuid sageli ausale väitele: see masin on minu koduvõrgus. See lakkab piisamast hetkel, mil see prefiks sisaldab hoste, keda te ei lubaks, mis tarbijauhendusel on tavaliselt väiksem hulk, kui inimesed eeldavad. Dünaamilise DNS-i kaudu avaldatud nime on lihtsam käitada, sest kirje järgib hosti ja poliitikat loetakse identiteedina, mitte vahemikuna, mis kasvab iga seadme lisamisel.

Mõlemad valikud vajavad resolverit, mida server saab usaldada, ja nime, mida ei saa triviaalselt võltsida, seega käsitlege neid identiteedi poliitilise otsusena, mitte reegli kosmeetilise muudatusena. Kirjutage üles, milline resolver sellele nimele vastab, sest reegel on usaldusväärne ainult nii palju kui selle taga olev kirje.

Valik kolm: laske tunnelil aadress määrata

Kui ühendus läbib VPN-i, mida te kontrollite, saab server aadressi oma poolist välja anda, ja lubatud loend viitab siis väärtusele, mille valib server, mitte sellele, mida klient eelistab. See toimib hästi hallatavate klientide puhul ja halvasti kõige muu puhul, mida klient saab tühistada, seega kontrollige, milline pool teie juurutusel tegelikult võidab.

Otsuse täielikult aadressilt eemale viimine, kliendi sertifikaadile või autenditud lüüsile, on valik, mis skaleerub, sest see lakkab sõltumast väärtusest, mida operatsioonisüsteemil on õigus muuta.

Valige jälgimiskulu silmas pidades

Kirjutage neli valikut tegeliku nõude vastu ja valige üks, selle asemel et neid kombineerida. Kui te privaatsuse siiski välja lülitate, piirduge hostiga, mis seda vajab, dokumenteerige põhjus reegli kõrval ja kaaluge RFC 7217 stabiilset privaatsusaadressimist seal, kus platvorm seda toetab, kuna see hoiab prefiksi kohta identifikaatori, ilma riistvarast tuletatut paljastamata. Kui lubatud loend asendatakse, lülitage laiendused uuesti sisse.

Registreerige muudatus selle kõrval, mida see reegel toetab. Ilma selle märkmeta leiab järgmine administraator hosti, mille privaatsuslaiendused on väljas ja selgitust pole, ning lülitab need koristamise käigus uuesti sisse.