IPv6 ULA nunha VPN: direccionamento privado, non privacidade

Os enderezos que parecen privados non o son no sentido que a maioría da xente quere dicir, e o direccionamento único local de IPv6 é o caso máis claro. Un prefixo ULA dá a unha VPN un plan interno estable para os recursos que ten detrás. Non cifra nada, non autentica un par e non decide a que servizos pode chegar un cliente. Tratar o prefixo como un control de seguridade é o erro que este artigo quere eliminar.

Que proporciona realmente o prefixo

RFC 4193 reserva fc00::/7 para uso local, co bit L que distingue o espazo asignado localmente da forma reservada. Na práctica, iso significa que o que xeras é fd00::/8. A especificación tamén define como se debe derivar o ID global de 40 bits, para que os sitios independentes non elixan o mesmo prefixo por accidente. Ese espazo está deseñado para quedar fóra da internet pública, o que é unha propiedade de encamiñamento e non unha protección.

Dentro dun sitio, a disposición habitual é un ID global /48 dividido en subredes: unha para os clientes do túnel, unha para o lado do servidor e unha por cada LAN remota. Esa estrutura é todo o beneficio, e é un beneficio de direccionamento. Cada paquete segue necesitando unha ruta e segue necesitando unha política que o permita.

Confundir o prefixo cun túnel é como un deseño acaba documentando enderezos fd00 e asumindo que o tráfico entre eles está protexido. Non o está, a non ser que outra cousa faga a protección.

Por que copiar o prefixo do exemplo doe

Todos os titoriais usan un prefixo fácil de lembrar, e todos os lectores que o copian herdan o mesmo risco de colisión. Dous sitios que máis tarde se conectan por un túnel de sitio a sitio con rangos idénticos producen exactamente a ambigüidade coñecida do espazo privado IPv4 superposto. Ningún dos dous lados está equivocado por si só, e a rede combinada non ten forma de saber que destino se quere dicir.

Xerar o ID global segundo o proceso documentado leva un minuto e elimina a pregunta. Anota o prefixo, a entrada de xeración e a data xunto ao plan de enderezos.

O risco non é teórico para quen fusiona redes tras unha adquisición ou une dous laboratorios por unha VPN. Tampouco é urxente para un só sitio, e por iso aprazase ata que a fusión xa está programada.

Alcance e acceso son preguntas separadas

ULA non está pensado para o direccionamento ordinario de internet encamiñado globalmente. Iso non fai fiable cada host que o usa nin fai inalcanzables eses hosts desde outras redes privadas conectadas. As devasas e os permisos das aplicacións seguen decidindo que pode usar un par, e o túnel segue achegando a autenticación coa que se configurou.

Unha saída a internet necesita o seu propio deseño de saída IPv6. Asignar un enderezo ULA a un cliente non crea acceso a destinos globais arbitrarios, e non se debe esperar que un cliente que recibe un navegue pola internet pública a través del.

Dous sitios con prefixos distintos seguen necesitando rutas de retorno para os rangos do outro, e ambas as devasas necesitan regras coincidentes. Nada diso se deduce da familia de enderezos. O que se deduce é traballo de documentación: unha táboa de prefixos e os sistemas aos que se permite responder en cada un.

Comproba o plan nos dous extremos

Confirma que o prefixo aparece onde cres que aparece e, despois, confirma que un destino é realmente alcanzable a través del.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

A listaxe de enderezos mostra que interface ten que subrede, e un cliente que recibiu a incorrecta adoita mostralo aquí. A listaxe de rutas mostra se o prefixo remoto ten un camiño polo túnel en lugar de ser descartado. A proba responde á única pregunta que importa: se un paquete fai a viaxe de ida e volta.

Repite a comprobación tras unha reconexión, porque un cliente que conserva o enderezo pero perde a ruta produce unha conexión que parece activa e non reenvía nada. O enderezo é a parte fácil, e a ruta é o que desaparece. Garda ambas as saídas xunto ao nome do perfil de conexión para que a seguinte comparación comece con probas.