IPv6 ULA VPN-is: privaatne adresseerimine, mitte privaatsus

Privaatsed näivad aadressid ei ole privaatsed selles tähenduses, mida enamik inimesi mõtleb, ja IPv6 unikaalselt lokaalne adresseerimine on selle kõige selgem juhtum. ULA-prefiks annab VPN-ile stabiilse sisemise plaani selle taga olevate ressursside jaoks. See ei krüpteeri midagi, ei autendi partnerit ega otsusta, millistele teenustele klient pääseb. Prefiksi käsitlemine turvakontrollina on viga, mille see artikkel kõrvaldada tahab.

Mida prefiks tegelikult annab

RFC 4193 eraldab fc00::/7 kohalikuks kasutuseks, kusjuures L-bitt eristab kohapeal määratud ruumi reserveeritud vormist. Praktikas tähendab see, et genereerite fd00::/8. Spetsifikatsioon määrab ka, kuidas 40-bitine globaalne ID tuletada, et sõltumatud saidid ei valiks kogemata sama prefiksit. See ruum on mõeldud jääma avalikust internetist väljapoole, mis on marsruutimise omadus, mitte kaitse.

Ühe saidi sees on tavaline paigutus /48 globaalne ID, mis on jagatud alamvõrkudeks: üks tunneliklientidele, üks serveripoolsele küljele, üks iga kaugema LAN-i jaoks. See struktuur on kogu kasu ja see on adresseerimise kasu. Iga pakett vajab endiselt marsruuti ja endiselt poliitikat, mis seda lubab.

Prefiksi segamine tunneliga on viis, kuidas disain jõuab fd00 aadresside dokumenteerimiseni ja eeldab, et nendevaheline liiklus on kaitstud. See ei ole, kui miski muu ei taga kaitset.

Miks näidise prefiksi kopeerimine valutab

Iga õpetus kasutab meeldejäävat prefiksit ja iga lugeja, kes selle kopeerib, pärib sama kokkupõrke riski. Kaks saiti, mis hiljem ühendatakse saitidevahelise tunneliga samade vahemikega, tekitavad täpselt selle mitmetähenduslikkuse, mis on tuntud kattuvatest privaatsetest IPv4-ruumidest. Kumbki pool ei ole iseenesest vale ja ühendatud võrgul pole võimalust teada, millist sihti mõeldakse.

Globaalse ID genereerimine dokumenteeritud protsessi järgi võtab minuti ja kõrvaldab küsimuse. Märkige üles prefiks, genereerimise sisend ja kuupäev aadressiplaani kõrvale.

Risk ei ole teoreetiline kellelegi, kes ühendab võrke pärast omandamist või ühendab kaks laborit VPN-i kaudu. See ei ole ka ühe saidi jaoks kiireloomuline, mistõttu lükatakse see edasi, kuni ühinemine on juba planeeritud.

Ulatus ja juurdepääs on eraldi küsimused

ULA ei ole mõeldud tavaliseks ülemaailmselt marsruuditud interneti adresseerimiseks. See ei muuda iga seda kasutavat hosti usaldusväärseks ega muuda neid hoste teistest ühendatud privaatvõrkudest kättesaamatuks. Tulemüürid ja rakenduste load otsustavad endiselt, mida partner tohib kasutada, ja tunnel annab endiselt selle autentimise, millega see seadistati.

Interneti väljund vajab omaette IPv6 väljundi disaini. ULA-aadressi kliendile määramine ei loo juurdepääsu suvalistele ülemaailmsetele sihtkohtadele ja kliendilt, kes selle saab, ei tohiks eeldada avaliku interneti sirvimist selle kaudu.

Kahel erineva prefiksiga saidil on endiselt vaja teineteise vahemike jaoks tagasiteid ja mõlemal tulemüüril sobivaid reegleid. Miski sellest ei tulene aadresside perekonnast. Mis tuleneb, on dokumenteerimistöö: tabel prefiksitest ja süsteemidest, millel on lubatud igal neist vastata.

Kontrollige plaani mõlemas otsas

Kinnitage, et prefiks ilmub sinna, kus te arvate, ja seejärel kinnitage, et sihtkoht on tõesti selle kaudu kättesaadav.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Aadresside loend näitab, milline liides hoiab millist alamvõrku, ja vale alamvõrgu saanud klient näitab seda tavaliselt siin. Marsruutide loend näitab, kas kaugel asuval prefiksil on tee läbi tunnelis, selle asemel et see kõrvale heita. Test vastab ainsale olulisele küsimusele: kas pakett teeb tee sinna ja tagasi.

Korrake kontrolli pärast uuesti ühendamist, sest klient, kes hoiab aadressi, kuid kaotab marsruudi, tekitab ühenduse, mis näib üleval olevat ja ei edasta midagi. Aadress on lihtne osa ja marsruut on see, mis kaob. Salvestage mõlemad väljundid ühendusprofiili nime kõrvale, et järgmine võrdlus algaks tõenditest.