IPv6-adressen ferfange jo VPN net: rin de oarspronklike taak nei

Iepenje de statuspagina fan de klient, sjoch in globaal IPv6-adres, en de ferlieding is om te konkludearjen dat de tunnel opsjoneel wurden is. Dy pagina toant in adres, net in fersiferingsgrins, net in priveerûteschema en net in tagongbeslút. In VPN draacht meastal trije taken tagelyk, en IPv6 rekket allinnich dy oer it dielen fan krape adressen. Ien tsjinst fan de klient nei de listener rinne is de iennichste manier om te sjen hokker taak de feroaring oerlibbet.

Neam de taak foardat jo it ark fuorthelje

Minse sizze „de VPN” as se ien fan trije regelingen bedoele, en de trije mislearje om ferskillende redenen. Ien applikaasje berikke dy’t troch ien team publisearre is, is in probleem fan applikaasjetagong. By in fêststelde set priveenetwurken komme sadat ferskate lokaasjes inoar berikke kinne, is in rûtesrelaasje. In stabile bestjoerlike laach hâlde oer ynfrastruktuer dy’t jo net folslein kontrolearje, is in operaasjeregeling mei har eigen adresplan.

IPv6 hellet in adresdielingshindernis fuort foar de earste regeling, en dêr docht it echt wurk, want in direkt adres kin in oersetter ferfange. Foar de oare twa feroaret it neat, om’t de eask nea adrestekoart wie. Skriuw op hokker fan de trije jo eins draaie foardat jo in konfiguraasje oanreitsje.

In iepenbier adres is gjin fersifering

In adres mei globale berik fertelt wêr’t in host berikber is; it seit neat oer oft it ferkear dat dêr oankomt fersifere of autentisearre is. De feiligensdiskusje fan RFC 8504 skiedt stipe foar IPsec-ymplemintaasje fan de bredere kar tusken IPsec, TLS, SSH en oare oanpakken, en dat is krekt it ûnderskie dat ferdwynt as berikberens as beskerming lêzen wurdt. In stack dy’t in meganisme stipet, hat allinnich bewiisd dat it meganisme beskikber is, nea dat dit ferkear der troch gie. Foar IPsec benammen beslute de ûnderhannele assosjaasje en it ferkear dat dy selektearret wat beskerme is, en in adresfamylje is in eigenskip fan it pakket, net in belied dêrfoar.

Berikberens is wer in aparte fraach. In iepenbier adres lit gjin net-frege ferkear oankomme, om’t de rûte, de brânmuorre en de listener elk in stim hawwe, en NAT fuorthelje hellet ien filter fuort ynstee fan allegear. Beslute hokker fan dy trije de tunnel ferfong, as der ien wie.

Wat de oerlaach noch leveret

In oerlaach fertsjinnet noch hieltyd syn plak yn trije situaasjes. Ofstânsbrûkers kinne in spesifike set rûtes nedich hawwe ynstee fan ien applikaasje, twa lokaasjes kinne in privee berikberensoerienkomst nedich hawwe, en operatoren kinne adressearring wolle dy’t net feroaret as de tagongleveransier feroaret. Gjin fan de trije giet oer it tekoart oan IPv4-adressen.

Globale adressen meitsje dat net ûnderhâldsfrij. In oarderlik yntern plan hâldt it eksterne einpunt net oan it antwurdzjen as de leveransier it feroaret, en autentikaasje, werferbining en nammefreskoaaiings hawwe noch hieltyd in eigner nedich. Beslute hoe’t dy har werstelle foardat der wat útskeakele wurdt.

Rin de tsjinst nei dy’t iepenbier wurdt

Begjin by de host en list op wat eins harket, om’t de applikaasje dy’t jo goedkard hawwe selden it iennichste ding op de masine is. ss -lntup prints elk TCP- en UDP-listener mei syn bindadres en foeget it eigenerproses ta wêr’t jo privileezjes it tastean, wat yn ien eachopslach toant oft in beheerynterface op in jokeradres of allinnich op loopback sit. Werhelje it as ss -6 -lntup as jo stack IPv6-sockets apart hâldt.

Klassifisearje dan elke rigel nei publyk. In applikaasjeport mei eigen autentikaasje en transportfeiligens kin goed wêze op in iepenbier adres, wylst in beheerynterface, in metryk-einpunt en in databaseport dat meastal net binne. Ien goedkarde applikaasje is in oardiel oer dy applikaasje allinnich, nea tastimming om elke tsjinst dy’t de host dielt bleat te stellen. It bindadres op elke rigel fertelt jo oft de bleatstelling al bestiet of troch de feroaring dy’t jo planne makke wurde soe.

Twa tests, beslute dan wat jo útskeakelje

Foardat jo in laach fuorthelje, beantwurdzje twa fragen op papier. Earst, hat de eask priveerûtes nedich, dus berikberens dy’t in iepenbier adres net ymplisearret en de tagongleveransier net biedt? Twadde, hat it in beskermingsgrins nedich, dus fersifering en autentikaasje op in stream dy’t oars in net-fetrouber paad iepen trochkruse soe? As beide antwurden nee binne foar dy tsjinst, is de tunnel in kandidaat foar fuortheljen; as ien fan beide ja is, bliuwt er.

Run deselde test oer IPv4 en IPv6 apart op in dûbelstack-klant, om’t beskerme IPv4-ferkear neat oer it IPv6-paad seit. In globaal IPv6-adres yn in statuspagina is gjin bewiis fan in lek, en in ûntbrekkend ien is gjin bewiis fan beskerming. Skeakelje allinnich de tsjinsten út dêr’t beide antwurden opskreaun waarden en noch hieltyd nee binne, en notearje yn it feroaringsregister hokker fraach it besletten hat.