IPv6-privacyadressen of in RDP-tastienlist: kies de ôfweging

Tagong ta it buroblêd op ôfstân wurke in moanne, en doe hold de tastienlist op mei oerienkomme sûnder reden dy't immen sjen koe. De host wie net ferhuze en yn 'e firewall wie neat bewurke. Windows bliuwt tydlike IPv6-adressen foarmje mei tafallige ynterface-identifiers en dy weromlûke, sadat it boarneadres dat de server op in jierdei sjocht ien wêze kin dy't nimmen yn 'e regel skreaun hat. It útskeakeljen fan dat gedrach reparearret de oerienkomst en makket de host tagelyk in langlibbene identifier. Weagje de alternativen foardat jo de twadde helte akseptearje.

Wêrom't de regel ophold mei oerienkomme

RFC 4941 beskriuwt tydlike adressen: de host makket ekstra adressen mei tafallige identifiers en ferâldet se, wat in waarnimmer derfan wjerhâldt om ien host oer besites hinne te korrelearjen. Windows ymplemintearret dat gedrach, dus it boarneadres fan juster is net needsaaklik dat fan hjoed. It foarsisbere adres bestiet noch op 'e ynterface; it is gewoan net it ien dat in útgeande ferbining foarkar jout.

Dêrom liket de flater tuskenskoftsich ynstee fan folslein. De regel komt in skoft oerien nei't it adres makke is, hâldt op mei oerienkomme as it ferâldere is, en begjint wer oerien te kommen nei't immen it bewurke hat. Monitoaring groepearre op boarneadres en lisinsjekontrôles dy't oan in hostadres bûn binne, brekke op itselde skema. In regel dy't direkt nei it bewurkjen wurket en trije wiken letter mislearret, is meastentiids dit, net in werladen firewall.

Opsje ien: ien stabyl adres, minder privacy

De gewoane reparaasje skeakelet beide rotearjende meganismen op 'e host út: netsh interface ipv6 set privacy state=disabled store=persistent en netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Foegje store=active ta as jo wolle dat de wiziging fan krêft wurdt sûnder op in werstart te wachtsjen, en akseptearje dat jo de identifier no oer netwurken hinne foarsisber makke hawwe.

Dy foarsisberens is krekt wat de útwreidingen boud binne om te foarkommen. In adres dat de host fan kafee nei kantoar nei hûs folget, is in handich filterskaai en like handich in folchskaai, en de twadde eigenskip oerlibbet it kaartsje dat om de earste frege.

Opsje twa: lit in foarheaksel of in namme ta

It tastean fan de /64 ynstee fan it folsleine adres hâldt de rotaasje yntakt en past by in swakkere mar faak earlike bewearing: dizze masine stiet op myn thúsnetwurk. It hâldt op genôch te wêzen op it momint dat dat foarheaksel hosts befettet dy't jo net talitte soene, wat op in konsuminteferbining meastentiids in lytsere set is as minsken tinke. In namme publisearre fia dynamyske DNS is makliker te betsjinjen, om't it record de host folget en it belied lêzen wurdt as in identiteit ynstee fan as in berik dat groeit eltse kear as in apparaat tafoege wurdt.

Beide opsjes hawwe in resolver nedich dy't de server fertrouwe kin en in namme dy't net maklik te ferfalskjen is, behannelje se dus as in beliedsbeslút oer identiteit ynstee fan as in kosmetyske wiziging fan 'e regel. Skriuw op hokker resolver dat namme beantwurdet, want de regel is mar sa fertrouber as it record derachter.

Opsje trije: lit de tunnel it adres tawize

As de ferbining troch in VPN giet dy't jo beheare, kin de server it adres út syn eigen pool jaan, en de tastienlist ferwiist dan nei in wearde dy't de server kiest ynstee fan ien dy't de klant foarkar jout. Dat wurket goed foar behearde klanten en min foar alles wat de klant oerskriuwe kin, dus kontrolearje hokker kant by jo ynset echt wint.

It beslút folslein fan it adres ferpleatse, nei in klantsertifikaat of in autentisearre gateway, is de opsje dy't skalet, om't it ophâldt ôfhinklik te wêzen fan in wearde dy't it bestjoeringssysteem it rjocht hat te feroarjen.

Kies mei de folchkosten yn 't each

Skriuw de fjouwer opsjes tsjin 'e werklike eask, en kies ien ynstee fan se te kombinearjen. As jo privacy dochs útskeakelje, behein it dan ta de host dy't it nedich hat, dokumintearje de reden njonken de regel, en oerweagje stabyl-prive adressearring út RFC 7217 wêr't it platfoarm it stipet, om't it in identifier per foarheaksel hâldt sûnder de fan hardware ôflate bleat te lizzen. Skeakelje de útwreidingen wer yn as de tastienlist ferfongen wurdt.

Registrearje de wiziging njonken de regel dy't it stipet. Sûnder dy notysje fynt de folgjende behearder in host mei privacy-útwreidingen út en gjin ferklearring, en skeakelet se wer yn by in opromming.