آدرس‌های IPv6 جای VPN شما را نمی‌گیرند: کار اصلی را دنبال کنید

صفحه وضعیت کلاینت را باز کنید، یک آدرس جهانی IPv6 ببینید و وسوسه می‌شوید نتیجه بگیرید که تونل اختیاری شده است. آن صفحه یک آدرس نشان می‌دهد، نه مرز رمزنگاری، نه جدول مسیریابی خصوصی و نه تصمیم دسترسی. یک VPN معمولاً سه کار را همزمان انجام می‌دهد و IPv6 فقط به همان کاری مربوط است که درباره تقسیم آدرس‌های کمیاب است. از یک سرویس واحد از کلاینت تا شنونده عبور کردن، تنها راه دیدن این است که کدام کار از تغییر جان سالم به در می‌برد.

پیش از حذف ابزار، کار را نام ببرید

مردم وقتی یکی از سه ترتیب را منظور دارند می‌گویند «VPN»، و هر سه به دلایل متفاوت شکست می‌خورند. رسیدن به یک برنامه که یک تیم منتشر کرده، مسئله‌ای درباره دسترسی به برنامه است. پیوستن به مجموعه‌ای معین از شبکه‌های خصوصی تا چند سایت بتوانند به هم برسند، یک رابطه مسیریابی است. حفظ یک لایه مدیریتی پایدار روی زیرساختی که کاملاً کنترلش نمی‌کنید، ترتیبی عملیاتی با طرح آدرس خودش است.

IPv6 برای ترتیب نخست مانع تقسیم آدرس را برمی‌دارد و آنجا کار واقعی می‌کند، چون یک آدرس مستقیم می‌تواند جای یک مترجم را بگیرد. برای دو ترتیب دیگر چیزی تغییر نمی‌دهد، چون نیاز هرگز کمبود آدرس نبود. پیش از دست زدن به یک پیکربندی بنویسید کدام‌یک از این سه را واقعاً اجرا می‌کنید.

آدرس عمومی رمزنگاری نیست

یک آدرس با دامنه جهانی به شما می‌گوید یک میزبان از کجا در دسترس است؛ هیچ چیزی درباره رمزنگاری یا احراز هویت ترافیکی که به آنجا می‌رسد نمی‌گوید. بحث امنیتی RFC 8504 پشتیبانی از پیاده‌سازی IPsec را از انتخاب گسترده‌تر میان IPsec، TLS، SSH و رویکردهای دیگر جدا می‌کند، و این دقیقاً همان تمایزی است که وقتی دسترس‌پذیری به‌عنوان حفاظت خوانده شود ناپدید می‌شود. پشته‌ای که یک سازوکار را پشتیبانی می‌کند تنها ثابت کرده که آن سازوکار در دسترس است، هرگز ثابت نکرده که این جریان از آن عبور کرده است. به‌طور خاص برای IPsec، انجمن مذاکره‌شده و ترافیکی که انتخاب می‌کند تعیین می‌کنند چه چیزی محافظت می‌شود، و خانواده آدرس ویژگی بسته است نه خط‌مشی برای آن.

دسترس‌پذیری دوباره پرسشی جداگانه است. یک آدرس عمومی باعث نمی‌شود ترافیک ناخواسته برسد، چون مسیر، دیوار آتش و شنونده هر کدام یک رأی دارند، و حذف NAT یک فیلتر را برمی‌دارد نه همه را. تصمیم بگیرید تونل جانشین کدام‌یک از این سه بود، اگر بود.

لایه‌ای که هنوز چه چیزی فراهم می‌کند

یک لایه در سه موقعیت همچنان جای خود را به دست می‌آورد. کاربران دور ممکن است به مجموعه معینی از مسیرها نیاز داشته باشند نه یک برنامه، دو سایت ممکن است به توافق دسترس‌پذیری خصوصی نیاز داشته باشند، و اپراتورها ممکن است آدرس‌دهی‌ای بخواهند که با تغییر ارائه‌دهنده دسترسی تغییر نکند. هیچ‌یک از این سه درباره کمبود آدرس‌های IPv4 نیست.

آدرس‌های جهانی آن را بی‌دردسر نمی‌کنند. یک طرح داخلی مرتب، نقطه پایانی بیرونی را پس از آنکه ارائه‌دهنده آن را تغییر می‌دهد پاسخگو نگه نمی‌دارد، و احراز هویت، اتصال دوباره و به‌روزرسانی نام‌ها هنوز به یک مالک نیاز دارند. پیش از خاموش کردن هر چیزی تصمیم بگیرید این‌ها چگونه بازیابی می‌شوند.

سرویسی را که عمومی می‌شود دنبال کنید

از میزبان شروع کنید و فهرست کنید چه چیزی واقعاً گوش می‌دهد، چون برنامه‌ای که تأیید کردید به‌ندرت تنها چیز روی دستگاه است. ss -lntup هر شنونده TCP و UDP را با آدرس اتصالش چاپ می‌کند و در جایی که اختیاراتتان اجازه دهد فرایند مالک را اضافه می‌کند، که با یک نگاه نشان می‌دهد یک رابط مدیریتی روی آدرس عام یا فقط روی loopback نشسته است. اگر پشته‌تان سوکت‌های IPv6 را جدا نگه می‌دارد، آن را به شکل ss -6 -lntup تکرار کنید.

سپس هر خط را بر اساس مخاطب دسته‌بندی کنید. یک درگاه برنامه که احراز هویت و امنیت انتقال خودش را دارد ممکن است روی یک آدرس عمومی اشکالی نداشته باشد، در حالی که رابط مدیریتی، نقطه پایانی سنجه‌ها و درگاه پایگاه داده معمولاً این‌طور نیستند. یک برنامه تأییدشده داوری درباره همان برنامه است، هرگز اجازه افشای هر سرویسی که میزبان را به اشتراک می‌گذارد نیست. آدرس اتصال در هر خط به شما می‌گوید افشا از قبل وجود دارد یا با تغییری که در نظر دارید ایجاد می‌شود.

دو آزمون، سپس تصمیم بگیرید چه چیزی را خاموش کنید

پیش از حذف یک لایه، دو پرسش را روی کاغذ پاسخ دهید. نخست، آیا نیاز به مسیریابی خصوصی دارد، یعنی دسترس‌پذیری‌ای که یک آدرس عمومی آن را ایجاب نمی‌کند و ارائه‌دهنده دسترسی عرضه نمی‌کند؟ دوم، آیا به یک مرز حفاظت نیاز دارد، یعنی رمزنگاری و احراز هویت روی جریانی که در غیر این صورت مسیری غیرقابل‌اعتماد را آشکارا می‌گذراند؟ اگر هر دو پاسخ برای آن سرویس نه بود، تونل نامزد حذف است؛ اگر یکی بله بود، می‌ماند.

همان آزمون را روی IPv4 و IPv6 جداگانه روی یک کلاینت دوپشته اجرا کنید، چون ترافیک محافظت‌شده IPv4 هیچ چیزی درباره مسیر IPv6 نمی‌گوید. یک آدرس جهانی IPv6 در صفحه وضعیت شاهدی بر نشت نیست، و نبودنش شاهدی بر حفاظت نیست. فقط سرویس‌هایی را خاموش کنید که هر دو پاسخ برایشان نوشته شده و هنوز نه هستند، و در سابقه تغییر بنویسید کدام پرسش آن را تعیین کرد.