IPv6-yksityisyysosoitteet vai RDP-sallittujen luettelo: valitse kompromissi

Etätyöpöytäyhteys toimi kuukauden, ja sitten sallittujen luettelo lakkasi täsmäämästä ilman syytä, jonka kuka tahansa olisi nähnyt. Isäntä ei ollut siirtynyt eikä palomuurissa ollut muokattu mitään. Windows muodostaa edelleen väliaikaisia IPv6-osoitteita satunnaisilla liitännän tunnisteilla ja poistaa ne käytöstä, joten palvelimen minä tahansa päivänä näkemä lähdeosoite voi olla sellainen, jota kukaan ei kirjoittanut sääntöön. Tämän toiminnan poistaminen käytöstä korjaa täsmäytyksen ja tekee isännästä samalla pitkäikäisen tunnisteen. Punnitse vaihtoehdot ennen kuin hyväksyt toisen puoliskon.

Miksi sääntö lakkasi täsmäämästä

RFC 4941 kuvaa väliaikaiset osoitteet: isäntä luo lisäosoitteita satunnaistetuilla tunnisteilla ja poistaa ne käytöstä, mikä estää tarkkailijaa korreloimasta yhtä isäntää käyntien välillä. Windows toteuttaa tämän toiminnan, joten eilinen lähdeosoite ei välttämättä ole tämänpäiväinen. Ennustettava osoite on edelleen liitännällä; se ei vain ole se, jota lähtevä yhteys suosii.

Siksi vika näyttää ajoittaiselta eikä täydelliseltä. Sääntö täsmää jonkin aikaa osoitteen luomisen jälkeen, lakkaa täsmäämästä, kun se poistetaan käytöstä, ja alkaa täsmätä uudelleen, kun joku muokkaa sitä. Lähdeosoitteen mukaan ryhmitelty valvonta ja isäntäosoitteeseen sidotut lisenssitarkistukset hajoavat samalla aikataululla. Sääntö, joka toimii heti muokkaamisen jälkeen ja epäonnistuu kolme viikkoa myöhemmin, on yleensä tämä eikä palomuurin uudelleenlataus.

Vaihtoehto yksi: yksi vakaa osoite, vähemmän yksityisyyttä

Tavallinen korjaus poistaa isännältä molemmat pyöritysmekanismit käytöstä: netsh interface ipv6 set privacy state=disabled store=persistent ja netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Lisää store=active, jos haluat muutoksen voimaan ilman uudelleenkäynnistyksen odottamista, ja hyväksy, että olet nyt tehnyt tunnisteesta ennustettavan verkkojen välillä.

Juuri se ennustettavuus on se, mitä laajennukset rakennettiin estämään. Osoite, joka seuraa isäntää kahvilasta toimistoon ja kotiin, on kätevä suodatusavain ja yhtä kätevä seuranta-avain, ja jälkimmäinen ominaisuus elää pidempään kuin lippu, joka pyysi ensimmäistä.

Vaihtoehto kaksi: salli etuliite tai nimi

/64:n salliminen koko osoitteen sijaan pitää pyörityksen ehjänä ja vastaa heikompaa mutta usein rehellistä väitettä: tämä kone on kotiverkossani. Se lakkaa riittämästä heti, kun kyseinen etuliite sisältää isäntiä, joita et päästäisi sisään, mikä kuluttajaliittymässä on yleensä pienempi joukko kuin ihmiset olettavat. Dynaamisen DNS:n kautta julkaistu nimi on helpompi ylläpitää, koska tietue seuraa isäntää ja käytäntö luetaan identiteettinä eikä alueena, joka kasvaa aina kun laite lisätään.

Molemmat vaihtoehdot tarvitsevat ratkaisijan, johon palvelin voi luottaa, ja nimen, jota ei voi triviaalisti väärentää, joten käsittele niitä identiteettiä koskevana periaatepäätöksenä äläkä säännön kosmeettisena muutoksena. Kirjoita ylös, mikä ratkaisija vastaa kyseiseen nimeen, sillä sääntö on vain niin luotettava kuin sen takana oleva tietue.

Vaihtoehto kolme: anna tunnelin määrittää osoite

Jos yhteys kulkee hallitsemasi VPN:n kautta, palvelin voi jakaa osoitteen omasta varannostaan, ja sallittujen luettelo viittaa silloin arvoon, jonka palvelin valitsee, eikä siihen, jota asiakas suosii. Tämä toimii hyvin hallituille asiakkaille ja huonosti kaikelle, mitä asiakas voi ohittaa, joten varmista, kumpi osapuoli todella voittaa käyttöönotossasi.

Päätöksen siirtäminen kokonaan pois osoitteesta, asiakasvarmenteeseen tai todennettuun yhdyskäytävään, on vaihtoehto, joka skaalautuu, koska se lakkaa riippumasta arvosta, jonka käyttöjärjestelmällä on oikeus muuttaa.

Valitse seurannan kustannus mielessä

Kirjoita neljä vaihtoehtoa todellista vaatimusta vastaan ja valitse yksi sen sijaan, että yhdistäisit ne. Jos poistat yksityisyyden käytöstä joka tapauksessa, rajaa se isäntään, joka sitä tarvitsee, dokumentoi syy säännön viereen ja harkitse RFC 7217:n vakaa-yksityistä osoitteistusta siellä, missä alusta tukee sitä, koska se säilyttää etuliitekohtaisen tunnisteen paljastamatta laitteistosta johdettua. Ota laajennukset uudelleen käyttöön, kun sallittujen luettelo korvataan.

Kirjaa muutos sen säännön viereen, jota se tukee. Ilman sitä muistiinpanoa seuraava ylläpitäjä löytää isännän, jonka yksityisyyslaajennukset on poistettu käytöstä ja josta ei ole selitystä, ja kytkee ne takaisin siivouksen aikana.