Os enderezos IPv6 non substitúen a túa VPN: percorre a tarefa orixinal

Abre a páxina de estado do cliente, ve un enderezo IPv6 global e a tentación é concluír que o túnel se volveu opcional. Esa páxina mostra un enderezo, non unha fronteira de cifrado, nin unha táboa de encamiñamento privada, nin unha decisión de acceso. Unha VPN adoita desempeñar tres tarefas á vez, e IPv6 só toca a que ten que ver con compartir enderezos escasos. Percorrer un único servizo desde o cliente ata o receptor é a única forma de ver que tarefa sobrevive ao cambio.

Nomea a tarefa antes de retirar a ferramenta

A xente di «a VPN» cando se refire a unha de tres disposicións, e as tres fallan por motivos distintos. Chegar a unha aplicación publicada por un equipo é un problema de acceso a aplicacións. Unirse a un conxunto definido de redes privadas para que varios sitios poidan alcanzarse é unha relación de encamiñamento. Manter unha capa administrativa estable sobre unha infraestrutura que non controlas por completo é unha disposición de operacións co seu propio plan de enderezos.

IPv6 elimina un obstáculo de compartición de enderezos para a primeira disposición, e aí fai traballo real, porque un enderezo directo pode substituír un tradutor. Para as outras dúas non cambia nada, xa que o requisito nunca foi a escaseza de enderezos. Escribe cal das tres estás a executar en realidade antes de tocar unha configuración.

Un enderezo público non é cifrado

Un enderezo de ámbito global diche onde se pode alcanzar un host; non di nada sobre se o tráfico que chega alí está cifrado ou autenticado. A discusión de seguridade de RFC 8504 separa o soporte de implementación de IPsec da elección máis ampla entre IPsec, TLS, SSH e outros enfoques, que é precisamente a distinción que desaparece cando a alcanzabilidade se le como protección. Unha pila que admite un mecanismo só demostrou que o mecanismo está dispoñible, nunca que este fluxo pasou por el. No caso concreto de IPsec, a asociación negociada e o tráfico que selecciona deciden que está protexido, e unha familia de enderezos é unha propiedade do paquete, non unha política para el.

A alcanzabilidade é de novo unha cuestión aparte. Un enderezo público non fai que chegue tráfico non solicitado, porque a ruta, a devasa e o receptor teñen cada un o seu voto, e quitar NAT quita un filtro, non todos. Decide cal deses tres estaba suplindo o túnel, se algún.

O que a capa superposta segue achegando

Unha capa superposta segue gañando o seu sitio en tres situacións. Os usuarios remotos poden necesitar un conxunto concreto de rutas en lugar dunha aplicación, dous sitios poden necesitar un acordo privado de alcanzabilidade, e os operadores poden querer un enderezamento que non cambie cando cambia o provedor de acceso. Ningunha das tres ten que ver coa escaseza de enderezos IPv4.

Os enderezos globais non fan que iso non requira mantemento. Un plan interno ordenado non mantén o extremo externo respondendo despois de que o provedor o cambie, e a autenticación, a reconexión e as actualizacións de nomes seguen necesitando un responsable. Decide como se recuperan antes de apagar nada.

Percorre o servizo que se volve público

Comeza no host e enumera o que está escoitando de verdade, porque a aplicación que aprobaches raramente é o único na máquina. ss -lntup imprime cada receptor TCP e UDP coa súa dirección de enlace e engade o proceso propietario cando os teus privilexios o permiten, o que mostra nunha ollada se unha interface de administración está nunha dirección comodín ou só en loopback. Repíteo como ss -6 -lntup se a túa pila mantén separados os sockets IPv6.

Despois clasifica cada liña por audiencia. Un porto de aplicación que leva a súa propia autenticación e seguridade de transporte pode estar ben nun enderezo público, mentres que unha interface administrativa, un endpoint de métricas e un porto de base de datos normalmente non. Unha aplicación aprobada é un xuízo sobre esa aplicación soa, nunca permiso para expor todos os servizos que comparten o host. A dirección de enlace de cada liña diche se a exposición xa existe ou a crearía o cambio que planeas.

Dúas probas e logo decide que apagar

Antes de retirar unha capa, responde dúas preguntas sobre o papel. Primeira: o requisito necesita encamiñamento privado, é dicir, alcanzabilidade que un enderezo público non implica e o provedor de acceso non ofrece? Segunda: necesita unha fronteira de protección, é dicir, cifrado e autenticación nun fluxo que doutro xeito cruzaría unha ruta non fiable en claro? Se ambas as respostas son non para ese servizo, o túnel é candidato a retirarse; se algunha é si, queda.

Executa a mesma proba sobre IPv4 e IPv6 por separado nun cliente de pila dual, porque o tráfico IPv4 protexido non describe nada da ruta IPv6. Un enderezo IPv6 global nunha páxina de estado non é proba dunha fuga, e que falte non é proba de protección. Apaga só os servizos nos que ambas as respostas se escribiron e seguen sendo non, e anota no rexistro de cambios que pregunta o decidiu.