IPv6 ULA VPN:ssä: yksityinen osoitteistus, ei yksityisyyttä

Yksityisiltä näyttävät osoitteet eivät ole yksityisiä siinä merkityksessä, jota useimmat tarkoittavat, ja IPv6:n ainutlaatuisen paikallinen osoitteistus on selkein tapaus. ULA-etuliite antaa VPN:lle vakaan sisäisen suunnitelman sen takana oleville resursseille. Se ei salaa mitään, ei todista vertaista eikä päätä, mihin palveluihin asiakas pääsee. Etuliitteen pitäminen turvakontrollina on virhe, jonka tämä artikkeli on tarkoitettu poistamaan.

Mitä etuliite todella tarjoaa

RFC 4193 varaa fc00::/7 paikalliseen käyttöön, ja L-bitti erottaa paikallisesti osoitetun tilan varatusta muodosta. Käytännössä se tarkoittaa, että luot fd00::/8. Määritelmä määrittelee myös, miten 40-bittinen globaali ID tulee johtaa, jotta riippumattomat sivustot eivät valitse vahingossa samaa etuliitettä. Tila on suunniteltu pysymään julkisen internetin ulkopuolella, mikä on reititysominaisuus eikä suoja.

Sivuston sisällä tavallinen asettelu on /48 globaali ID jaettuna aliverkkoihin: yksi tunneliasiakkaille, yksi palvelinpuolelle ja yksi jokaiselle etä-LANille. Tämä rakenne on koko hyöty, ja se on osoitteistushyöty. Jokainen paketti tarvitsee edelleen reitin ja edelleen käytännön, joka sallii sen.

Etuliitteen sekoittaminen tunneliin on tapa, jolla suunnittelu päätyy dokumentoimaan fd00-osoitteita ja olettamaan, että niiden välinen liikenne on suojattu. Ei ole, ellei jokin muu hoida suojausta.

Miksi esimerkkietuliitteen kopioiminen sattuu

Jokainen opas käyttää helposti muistettavaa etuliitettä, ja jokainen lukija, joka kopioi sen, perii saman törmäysriskin. Kaksi sivustoa, jotka myöhemmin yhdistetään sivustojen välisellä tunnelilla samoin aluein, tuottavat täsmälleen sen monitulkintaisuuden, joka tunnetaan päällekkäisistä yksityisistä IPv4-avaruuksista. Kumpikaan puoli ei ole itsessään väärässä, eikä yhdistetyllä verkolla ole tapaa tietää, mitä kohdetta tarkoitetaan.

Globaalin ID:n luominen dokumentoidun prosessin mukaan vie minuutin ja poistaa kysymyksen. Kirjaa etuliite, luonnin syöte ja päivämäärä osoitesuunnitelman viereen.

Riski ei ole teoreettinen kenellekään, joka yhdistää verkkoja yrityskaupan jälkeen tai kytkee kaksi laboratoriota VPN:n kautta. Se ei ole kiireellinen yhdelle sivustolle, minkä vuoksi se lykkääntyy, kunnes yhdistyminen on jo aikataulutettu.

Laajuus ja pääsy ovat erillisiä kysymyksiä

ULA ei ole tarkoitettu tavalliseen maailmanlaajuisesti reititettyyn internet-osoitteistukseen. Se ei tee jokaisesta sitä käyttävästä isännästä luotettavaa eikä tee näistä isännistä saavuttamattomia muista yhdistetyistä yksityisverkoista. Palomuurit ja sovellusten käyttöoikeudet päättävät edelleen, mitä vastapuoli saa käyttää, ja tunneli tarjoaa edelleen sen todennuksen, jolla se määritettiin.

Internet-poistumaan tarvitaan oma IPv6-poistumisen suunnittelu. ULA-osoitteen antaminen asiakkaalle ei luo pääsyä mielivaltaisiin maailmanlaajuisiin kohteisiin, eikä sellaisen saavalta asiakkaalta tule odottaa julkisen internetin selaamista sen kautta.

Kahdella eri etuliitteen sivustolla on edelleen paluureitit toistensa alueille, ja molemmat palomuurit tarvitsevat vastaavat säännöt. Mikään tästä ei seuraa osoiteperheestä. Se, mikä seuraa, on dokumentointityötä: taulukko etuliitteistä ja järjestelmistä, joiden on sallittua vastata kullakin.

Tarkista suunnitelma molemmista päistä

Varmista, että etuliite näkyy siellä, missä luulet sen näkyvän, ja varmista sitten, että kohde on todella saavutettavissa sen kautta.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Osoiteluettelo näyttää, millä liitännällä on mikä aliverkko, ja väärän saanut asiakas näyttää sen yleensä tässä. Reittiluettelo näyttää, onko etäetuliitteellä polku tunnelin kautta sen sijaan, että se hylättäisiin. Testi vastaa ainoaan tärkeään kysymykseen: tekeekö paketti edestakaisen matkan.

Toista tarkistus uudelleenyhdistämisen jälkeen, koska asiakas, joka säilyttää osoitteensa mutta menettää reitin, tuottaa yhteyden, joka näyttää olevan ylhäällä eikä välitä mitään. Osoite on helppo osa, ja reitti on se, joka katoaa. Tallenna molemmat tulosteet yhteysprofiilin nimen viereen, jotta seuraava vertailu alkaa todisteista.