IPv6 गोपनीयता पते या RDP अनुमति सूची: समझौता चुनें

दूरस्थ डेस्कटॉप पहुँच एक महीने तक काम करती रही, और फिर अनुमति सूची बिना किसी दिखने वाले कारण के मेल खाना बंद कर गई। होस्ट हिला नहीं था और फ़ायरवॉल में कुछ भी संपादित नहीं हुआ था। Windows यादृच्छिक इंटरफ़ेस पहचानकर्ताओं के साथ IPv6 अस्थायी पते बनाता रहता है और उन्हें सेवानिवृत्त करता रहता है, इसलिए सर्वर जिस किसी दिन जो स्रोत पता देखता है वह ऐसा हो सकता है जिसे किसी ने नियम में नहीं लिखा हो। उस व्यवहार को बंद करना मेल को ठीक करता है और साथ ही होस्ट को दीर्घकालिक पहचानकर्ता बना देता है। दूसरा आधा स्वीकार करने से पहले विकल्पों को तौलें।

नियम मेल खाना क्यों बंद कर गया

RFC 4941 अस्थायी पतों का वर्णन करता है: होस्ट यादृच्छिक पहचानकर्ताओं के साथ अतिरिक्त पते बनाता है और उन्हें हटा देता है, जिससे कोई प्रेक्षक एक होस्ट को विभिन्न यात्राओं में सहसंबद्ध नहीं कर पाता। Windows उस व्यवहार को लागू करता है, इसलिए कल का स्रोत पता आज का होना ज़रूरी नहीं है। अनुमानित पता अभी भी इंटरफ़ेस पर मौजूद है; बस वह वह नहीं है जिसे बाहर जाने वाला कनेक्शन पसंद करता है।

इसीलिए विफलता पूर्ण के बजाय रुक-रुक कर दिखती है। पता बनने के बाद नियम कुछ समय तक मेल खाता है, सेवानिवृत्त होने पर मेल खाना बंद कर देता है, और किसी के संपादित करने के बाद फिर मेल खाने लगता है। स्रोत पते के अनुसार समूहित निगरानी और होस्ट पते पर आधारित लाइसेंस जाँचें उसी समय-सारणी पर टूटती हैं। जो नियम संपादन के तुरंत बाद काम करता है और तीन सप्ताह बाद विफल हो जाता है वह आमतौर पर यही होता है, फ़ायरवॉल का पुनः लोड नहीं।

विकल्प एक: एक स्थिर पता, कम गोपनीयता

सामान्य मरम्मत होस्ट पर दोनों घूर्णन तंत्र बंद कर देती है: netsh interface ipv6 set privacy state=disabled store=persistent और netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent। यदि आप चाहते हैं कि परिवर्तन पुनः आरंभ की प्रतीक्षा किए बिना लागू हो तो store=active जोड़ें, और स्वीकार करें कि अब आपने पहचानकर्ता को नेटवर्कों में अनुमानित बना दिया है।

यही अनुमाननीयता ठीक वही है जिसे रोकने के लिए एक्सटेंशन बनाए गए थे। वह पता जो होस्ट का कैफ़े से कार्यालय और घर तक पीछा करता है, एक सुविधाजनक फ़िल्टर कुंजी है और उतनी ही सुविधाजनक ट्रैकिंग कुंजी, और दूसरा गुण पहले वाले के लिए माँगे गए टिकट से अधिक टिकता है।

विकल्प दो: किसी प्रीफ़िक्स या नाम को अनुमति दें

पूरे पते के बजाय /64 की अनुमति देना घूर्णन को अक्षुण्ण रखता है और एक कमज़ोर पर अक्सर ईमानदार दावे से मेल खाता है: यह मशीन मेरे घरेलू नेटवर्क पर है। यह उस क्षण पर्याप्त रहना बंद कर देता है जब उस प्रीफ़िक्स में ऐसे होस्ट हों जिन्हें आप स्वीकार नहीं करेंगे, जो उपभोक्ता कनेक्शन पर आमतौर पर लोगों के अनुमान से छोटा समूह होता है। गतिशील DNS के माध्यम से प्रकाशित नाम चलाना आसान है, क्योंकि रिकॉर्ड होस्ट का पीछा करता है और नीति पहचान के रूप में पढ़ी जाती है, ऐसी श्रेणी के रूप में नहीं जो हर उपकरण जोड़ने पर बढ़ती है।

दोनों विकल्पों को ऐसे रिज़ॉल्वर की आवश्यकता है जिस पर सर्वर भरोसा कर सके और ऐसे नाम की जिसे आसानी से नक़ली न बनाया जा सके, इसलिए इन्हें नियम में सौंदर्यपरक बदलाव नहीं बल्कि पहचान के बारे में नीतिगत निर्णय मानें। लिख लें कि कौन-सा रिज़ॉल्वर उस नाम का उत्तर देता है, क्योंकि नियम उतना ही भरोसेमंद है जितना उसके पीछे का रिकॉर्ड।

विकल्प तीन: टनल को पता सौंपने दें

यदि कनेक्शन आपके नियंत्रण वाले VPN से गुज़रता है, तो सर्वर अपने ही पूल से पता दे सकता है, और अनुमति सूची तब क्लाइंट की पसंद के बजाय सर्वर के चुने मान का संदर्भ देती है। यह प्रबंधित क्लाइंट के लिए अच्छा काम करता है और उस हर चीज़ के लिए बुरा जिसे क्लाइंट ओवरराइड कर सकता है, इसलिए जाँचें कि आपकी तैनाती में वास्तव में कौन-सा पक्ष जीतता है।

निर्णय को पते से पूरी तरह हटाना, क्लाइंट प्रमाणपत्र या प्रमाणित गेटवे की ओर, वह विकल्प है जो स्केल करता है, क्योंकि यह ऐसे मान पर निर्भर रहना बंद कर देता है जिसे बदलने का अधिकार ऑपरेटिंग सिस्टम के पास है।

ट्रैकिंग लागत को ध्यान में रखकर चुनें

चारों विकल्पों को वास्तविक आवश्यकता के सामने लिखें, और उन्हें जोड़ने के बजाय एक चुनें। यदि आप फिर भी गोपनीयता बंद करते हैं, तो इसे उस होस्ट तक सीमित रखें जिसे इसकी आवश्यकता है, नियम के बगल में कारण दर्ज करें, और जहाँ प्लेटफ़ॉर्म समर्थन दे वहाँ RFC 7217 के स्थिर-गोपनीय पता-निर्धारण पर विचार करें, क्योंकि यह हार्डवेयर से व्युत्पन्न पहचानकर्ता को उजागर किए बिना प्रति प्रीफ़िक्स एक पहचानकर्ता रखता है। जब अनुमति सूची बदली जाए तो एक्सटेंशन फिर से सक्षम करें।

परिवर्तन को उस नियम के बगल में दर्ज करें जिसका यह समर्थन करता है। उस नोट के बिना अगला व्यवस्थापक गोपनीयता एक्सटेंशन बंद और बिना किसी व्याख्या वाला होस्ट पाता है, और सफ़ाई के दौरान उन्हें फिर से चालू कर देता है।