IPv6 ULA ב-VPN: מיעון פרטי, לא פרטיות

כתובות שנראות פרטיות אינן פרטיות במובן שרוב האנשים מתכוונים אליו, ומיעון מקומי ייחודי של IPv6 הוא המקרה הברור ביותר. קידומת ULA נותנת ל-VPN תוכנית פנימית יציבה עבור המשאבים שמאחוריה. היא אינה מצפינה דבר, אינה מאמתת עמית ואינה קובעת לאילו שירותים לקוח רשאי להגיע. התייחסות לקידומת כאל בקרת אבטחה היא הטעות שהמאמר הזה נועד להסיר.

מה הקידומת באמת מספקת

RFC 4193 מקצה את fc00::/7 לשימוש מקומי, כאשר סיבית L מבדילה בין מרחב שהוקצה מקומית לבין הצורה השמורה. בפועל זה אומר שאתם יוצרים את fd00::/8. המפרט גם מגדיר כיצד יש לגזור את המזהה הגלובלי של 40 סיביות, כדי שאתרים עצמאיים לא יבחרו באותה קידומת בטעות. המרחב הזה נועד להישאר מחוץ לאינטרנט הציבורי, וזו תכונת ניתוב ולא הגנה.

בתוך אתר, הפריסה הרגילה היא מזהה גלובלי /48 המחולק לרשתות משנה: אחת ללקוחות המנהרה, אחת לצד השרת ואחת לכל LAN מרוחק. המבנה הזה הוא כל התועלת, והיא תועלת מיעון. כל מנה עדיין זקוקה למסלול ועדיין זקוקה למדיניות שמתירה אותה.

ערבוב בין הקידומת למנהרה הוא הדרך שבה תכנון מגיע לתיעוד כתובות fd00 ולהנחה שהתעבורה ביניהן מוגנת. היא אינה מוגנת, אלא אם משהו אחר מספק את ההגנה.

למה העתקת קידומת הדוגמה כואבת

כל מדריך משתמש בקידומת קלה לזכירה, וכל קורא שמעתיק אותה יורש את אותו סיכון התנגשות. שני אתרים שמתחברים מאוחר יותר דרך מנהרה מאתר לאתר עם טווחים זהים מייצרים בדיוק את העמימות המוכרת ממרחבי IPv4 פרטיים חופפים. אף צד אינו טועה בעצמו, ולרשת המשולבת אין דרך לדעת לאיזה יעד מתכוונים.

יצירת המזהה הגלובלי לפי התהליך המתועד אורכת דקה ומסירה את השאלה. רשמו את הקידומת, את קלט היצירה ואת התאריך לצד תוכנית הכתובות.

הסיכון אינו תיאורטי למי שממזג רשתות לאחר רכישה או מחבר שתי מעבדות דרך VPN. הוא גם אינו דחוף לאתר בודד, ולכן הוא נדחה עד שהמיזוג כבר מתוכנן.

היקף וגישה הן שאלות נפרדות

ULA אינו מיועד למיעון אינטרנט רגיל שמנותב גלובלית. זה לא הופך כל מארח שמשתמש בו למהימן, וזה לא הופך את המארחים האלה לבלתי נגישים מרשתות פרטיות מחוברות אחרות. חומות אש והרשאות יישומים עדיין קובעות מה עמית רשאי להשתמש בו, והמנהרה עדיין מספקת את האימות שאיתה הוגדרה.

ליציאה לאינטרנט דרושה תכנון יציאה ל-IPv6 משל עצמה. הקצאת כתובת ULA ללקוח אינה יוצרת גישה ליעדים גלובליים שרירותיים, ואין לצפות מלקוח שמקבל אחת כזו לגלוש באינטרנט הציבורי דרכה.

שני אתרים עם קידומות שונות עדיין זקוקים למסלולי חזור לטווחים של זה, ושתי חומות האש זקוקות לכללים תואמים. שום דבר מזה לא נובע ממשפחת הכתובות. מה שכן נובע הוא עבודת תיעוד: טבלה של קידומות והמערכות שמורשות להשיב על כל אחת מהן.

בדקו את התוכנית בשני הקצוות

ודאו שהקידומת מופיעה במקום שבו אתם חושבים שהיא מופיעה, ואז ודאו שיעד כלשהו באמת נגיש דרכה.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

רישום הכתובות מראה איזה ממשק מחזיק איזו רשת משנה, ולקוח שקיבל את הלא נכונה בדרך כלל יציג זאת כאן. רישום המסלולים מראה אם לקידומת המרוחקת יש נתיב דרך המנהרה במקום שתופל. הבדיקה עונה על השאלה היחידה שחשובה: אם מנה עושה את ההלוך והחזור.

חזרו על הבדיקה לאחר התחברות מחדש, כי לקוח ששומר על הכתובת אך מאבד את המסלול יוצר חיבור שנראה למעלה ואינו מעביר דבר. הכתובת היא החלק הקל, והמסלול הוא מה שנעלם. שמרו את שתי הפלטות לצד שם פרופיל החיבור כדי שההשוואה הבאה תתחיל מראיות.