IPv6 पते आपके VPN की जगह नहीं लेते: मूल काम को फिर से चलिए

क्लाइंट का स्टेटस पेज खोलिए, एक वैश्विक IPv6 पता देखिए, और ललच आता है यह निष्कर्ष निकालने का कि सुरंग अब वैकल्पिक हो गई है। वह पेज एक पता दिखाता है, एन्क्रिप्शन सीमा नहीं, निजी रूटिंग तालिका नहीं और एक्सेस निर्णय नहीं। VPN आमतौर पर एक साथ तीन काम करता है, और IPv6 केवल उसी काम को छूता है जो दुर्लभ पतों को बाँटने से जुड़ा है। क्लाइंट से लिसनर तक एक ही सेवा से गुज़रना ही यह देखने का एकमात्र तरीका है कि बदलाव के बाद कौन-सा काम बचता है।

औज़ार हटाने से पहले काम को नाम दें

लोग „VPN” तब कहते हैं जब उनका अर्थ तीन व्यवस्थाओं में से एक होता है, और तीनों अलग-अलग कारणों से विफल होती हैं। एक टीम द्वारा प्रकाशित एक एप्लिकेशन तक पहुँचना एप्लिकेशन-एक्सेस की समस्या है। निजी नेटवर्कों के एक निर्धारित समूह से जुड़ना ताकि कई साइटें एक-दूसरे तक पहुँच सकें, एक रूटिंग संबंध है। ऐसे ढाँचे पर स्थिर प्रशासनिक परत बनाए रखना जिसे आप पूरी तरह नियंत्रित नहीं करते, अपनी पता योजना वाली संचालन व्यवस्था है।

IPv6 पहली व्यवस्था के लिए पता-बँटवारे की बाधा हटाता है, और वहाँ यह असली काम करता है, क्योंकि सीधा पता एक अनुवादक की जगह ले सकता है। बाकी दोनों के लिए यह कुछ नहीं बदलता, क्योंकि आवश्यकता कभी पतों की कमी नहीं थी। कोई कॉन्फ़िगरेशन छूने से पहले लिखिए कि आप वास्तव में तीनों में से कौन-सी चला रहे हैं।

सार्वजनिक पता एन्क्रिप्शन नहीं है

वैश्विक दायरे वाला पता आपको बताता है कि होस्ट कहाँ से पहुँचा जा सकता है; यह कुछ नहीं कहता कि वहाँ पहुँचने वाला ट्रैफ़िक एन्क्रिप्टेड है या प्रमाणित। RFC 8504 की सुरक्षा चर्चा IPsec कार्यान्वयन-समर्थन को IPsec, TLS, SSH और अन्य दृष्टिकोणों के बीच के व्यापक चयन से अलग करती है, और यही वह भेद है जो तब गायब हो जाता है जब पहुँच को सुरक्षा के रूप में पढ़ा जाए। जो स्टैक किसी तंत्र का समर्थन करता है उसने केवल यह सिद्ध किया है कि तंत्र उपलब्ध है, कभी यह नहीं कि यह प्रवाह उससे गुज़रा। विशेष रूप से IPsec के लिए, बातचीत किया गया संबंध और वह जो ट्रैफ़िक चुनता है, तय करते हैं कि क्या संरक्षित है, और पता परिवार पैकेट का गुण है, उसके लिए नीति नहीं।

पहुँच फिर से एक अलग सवाल है। सार्वजनिक पता बिना माँगे ट्रैफ़िक को आने नहीं देता, क्योंकि मार्ग, फ़ायरवॉल और लिसनर तीनों का एक-एक वोट है, और NAT हटाना एक फ़िल्टर हटाता है, सब नहीं। तय कीजिए कि सुरंग उन तीनों में से किसकी जगह ले रही थी, अगर किसी की।

ओवरले अभी भी क्या देता है

ओवरले तीन स्थितियों में अभी भी अपनी जगह कमाता है। दूरस्थ उपयोगकर्ताओं को एक एप्लिकेशन की जगह मार्गों का एक विशिष्ट समूह चाहिए हो सकता है, दो साइटों को निजी पहुँच समझौता चाहिए हो सकता है, और ऑपरेटर ऐसा पता-निर्धारण चाह सकते हैं जो एक्सेस प्रदाता बदलने पर न बदले। तीनों में से कोई भी IPv4 पतों की कमी के बारे में नहीं है।

वैश्विक पते इसे रखरखाव-मुक्त नहीं बनाते। एक साफ़ आंतरिक योजना प्रदाता के उसे बदलने के बाद बाहरी अंतिम बिंदु को जवाब देते नहीं रखती, और प्रमाणीकरण, पुनःकनेक्शन और नाम अपडेट को अभी भी एक मालिक चाहिए। कुछ भी बंद करने से पहले तय कीजिए कि ये कैसे ठीक होंगे।

उस सेवा से गुज़रिए जो सार्वजनिक होती है

होस्ट से शुरू कीजिए और सूची बनाइए कि वास्तव में कौन सुन रहा है, क्योंकि जिस एप्लिकेशन को आपने मंज़ूर किया वह मशीन पर अकेली चीज़ होना दुर्लभ है। ss -lntup हर TCP और UDP लिसनर को उसके बाइंड पते के साथ छापता है और जहाँ आपके विशेषाधिकार अनुमति दें वहाँ मालिक प्रक्रिया जोड़ता है, जो एक नज़र में दिखाता है कि कोई प्रबंधन इंटरफ़ेस वाइल्डकार्ड पते पर है या केवल loopback पर। अगर आपका स्टैक IPv6 सॉकेट अलग रखता है तो इसे ss -6 -lntup के रूप में दोहराइए।

फिर हर पंक्ति को दर्शकों के अनुसार वर्गीकृत कीजिए। अपना प्रमाणीकरण और परिवहन सुरक्षा रखने वाला एप्लिकेशन पोर्ट सार्वजनिक पते पर ठीक हो सकता है, जबकि प्रशासनिक इंटरफ़ेस, मेट्रिक्स अंतिम बिंदु और डेटाबेस पोर्ट आमतौर पर नहीं होते। एक मंज़ूर एप्लिकेशन उसी एप्लिकेशन के बारे में फ़ैसला है, होस्ट साझा करने वाली हर सेवा को खोलने की अनुमति कभी नहीं। हर पंक्ति का बाइंड पता आपको बताता है कि जोखिम पहले से है या आपके नियोजित बदलाव से बनेगा।

दो परीक्षण, फिर तय कीजिए क्या बंद करना है

परत हटाने से पहले कागज़ पर दो सवालों के जवाब दीजिए। पहला, क्या आवश्यकता को निजी रूटिंग चाहिए, यानी ऐसी पहुँच जिसे सार्वजनिक पता नहीं दर्शाता और एक्सेस प्रदाता प्रदान नहीं करता? दूसरा, क्या उसे सुरक्षा सीमा चाहिए, यानी ऐसे प्रवाह पर एन्क्रिप्शन और प्रमाणीकरण जो अन्यथा किसी अविश्वसनीय मार्ग को खुले में पार करेगा? अगर उस सेवा के लिए दोनों जवाब ना हैं, तो सुरंग हटाने की उम्मीदवार है; अगर कोई एक हाँ है, तो वह रहती है।

IPv4 और IPv6 पर अलग-अलग वही परीक्षण डुअल-स्टैक क्लाइंट पर चलाइए, क्योंकि संरक्षित IPv4 ट्रैफ़िक IPv6 मार्ग के बारे में कुछ नहीं बताता। स्टेटस पेज में वैश्विक IPv6 पता लीक का सबूत नहीं है, और उसका न होना सुरक्षा का सबूत नहीं है। केवल उन सेवाओं को बंद कीजिए जिनके लिए दोनों जवाब लिखे गए थे और अब भी ना हैं, और परिवर्तन रिकॉर्ड में लिखिए कि किस सवाल ने यह तय किया।