IPv6 ULA yn in VPN: priveadressering, gjin privacy

Adressen dy't priveet lykje binne net privee yn 'e betsjutting dy't de measte minsken bedoele, en de unike lokale adressearring fan IPv6 is it dúdlikste gefal. In ULA-foarheaksel jout in VPN in stabyl yntern plan foar de boarnen der efter. It fersiferet neat, autentisearret gjin partner en beslút net hokker tsjinsten in klant berikke mei. It foarheaksel as befeiligingskontrôle behannelje is de flater dy't dit artikel fuortsmite wol.

Wat it foarheaksel eins biedt

RFC 4193 hâldt fc00::/7 apart foar lokaal gebrûk, wêrby't de L-bit lokaal tawiisd romte fan 'e reservearre foarm ûnderskiedt. Yn 'e praktyk betsjut dat dat jo fd00::/8 generearje. De spesifikaasje definiearret ek hoe't de 40-bit globale ID ôflaat wurde moat, sadat ûnôfhinklike sites net by ûngelok itselde foarheaksel kieze. Dat romte is ûntwurpen om bûten it iepenbiere ynternet te bliuwen, wat in routingeigenskip is en gjin beskerming.

Binnen in site is de gewoane opbou in /48 globale ID, ferdield yn subnetten: ien foar tunnelklanten, ien foar de serverkant, ien foar elk ôfstân LAN. Dy struktuer is it hiele foardiel, en it is in adressearringsfurdiel. Elk pakket hat noch hieltyd in rûte nedich en noch hieltyd in belied dat it tastean.

It foarheaksel mei in tunnel ferwikselje is hoe't in ûntwerp einiget mei it dokumintearjen fan fd00-adressen en it oannimmen dat it ferkear der tusken beskerme is. Dat is it net, útsein as eat oars de beskerming docht.

Wêrom't it kopiearjen fan it foarbyldfoarheaksel sear docht

Elke tutorial brûkt in maklik te ûnthâlden foarheaksel, en elke lêzer dy't it kopiearret erft itselde kollisjegefal. Twa sites dy't letter fia in site-nei-site-tunnel mei identike berikten ferbûn wurde, produsearje krekt de ûndúdlikens dy't bekend is fan oerlaapjende privee IPv4-romte. Gjin kant is op himsels ferkeard, en it kombinearre netwurk hat gjin manier om te witten hokker bestimming bedoeld is.

De globale ID neffens it dokumintearre proses generearje kostet in minút en hellet de fraach fuort. Notearje it foarheaksel, de ynfier fan 'e generaasje en de datum njonken it adresplan.

It risiko is net teoretysk foar wa't netwurken nei in oername gearfoegt of twa laboratoaria fia in VPN ferbynt. It is ek net driuwend foar ien site, en dêrom wurdt it útsteld oant de gearfoeging al pland is.

Berik en tagong binne aparte fragen

ULA is net bedoeld foar gewoane wrâldwiid rûtearre ynternetadressearring. Dat makket net elke host dy't it brûkt fertrouber, en it makket dy hosts net ûnberikber fan oare ferbûne privee netwurken. Firewalls en applikaasjetastimmingen beslute noch hieltyd wat in partner brûke mei, en de tunnel leveret noch hieltyd de autentikaasje wêrmei't er konfigurearre is.

In ynternetútgong hat syn eigen IPv6-útgongsûntwerp nedich. In ULA-adres oan in klant tawize makket gjin tagong ta willekeurige globale bestimmingen, en fan in klant dy't ien krijt mei net ferwachte wurde dat er oer it iepenbiere ynternet dêroer sneupt.

Twa sites mei ferskillende foarheaksels hawwe noch hieltyd weromrûtes nedich foar elkoars berikten, en beide firewalls hawwe byinoar passende regels nedich. Neat dêrfan folget út 'e adresfamylje. Wat folget is dokumintaasjewurk: in tabel fan foarheaksels en de systemen dy't op elk dêrfan antwurdzje meie.

Kontrolearje it plan op beide einen

Befêstigje dat it foarheaksel ferskynt wêr't jo tinke dat it docht, en befêstigje dan dat in bestimming wier berikber is dêroer.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

De adreslist lit sjen hokker ynterface hokker subnet hat, en in klant dy't de ferkearde krige hat lit dat ornaris hjir sjen. De rûtelist lit sjen oft it ôfstân foarheaksel in paad troch de tunnel hat ynstee fan wegere te wurden. De test beantwurdet de iennige fraach dy't telt: oft in pakket de reis dêr en wer makket.

Werhelje de kontrôle nei in werferbining, want in klant dy't syn adres hâldt mar de rûte ferliest produsearret in ferbining dy't omheech liket en neat trochjout. It adres is it maklike part, en de rûte is wat ferdwynt. Bewarje beide útfieringen njonken de namme fan it ferbiningsprofyl, sadat de folgjende ferliking fan bewiis begjint.