VPN में IPv6 ULA: निजी एड्रेसिंग, निजता नहीं

निजी दिखने वाले पते उस अर्थ में निजी नहीं हैं जो ज़्यादातर लोग कहते हैं, और IPv6 की विशिष्ट-स्थानीय एड्रेसिंग इसका सबसे स्पष्ट उदाहरण है। एक ULA प्रीफ़िक्स किसी VPN को उसके पीछे के संसाधनों के लिए स्थिर आंतरिक योजना देता है। यह कुछ भी एन्क्रिप्ट नहीं करता, किसी पीयर को प्रमाणित नहीं करता और यह निर्धारित नहीं करता कि कोई क्लाइंट किन सेवाओं तक पहुँच सकता है। प्रीफ़िक्स को सुरक्षा नियंत्रण मानना वह भूल है जिसे यह लेख दूर करना चाहता है।

प्रीफ़िक्स असल में क्या देता है

RFC 4193 स्थानीय उपयोग के लिए fc00::/7 अलग रखता है, जिसमें L बिट स्थानीय रूप से आवंटित स्थान को आरक्षित रूप से अलग करता है। व्यवहार में इसका अर्थ है कि आप fd00::/8 बनाते हैं। विनिर्देश यह भी तय करता है कि 40-बिट वैश्विक ID कैसे निकाला जाना चाहिए, ताकि स्वतंत्र साइटें गलती से वही प्रीफ़िक्स न चुनें। वह स्थान सार्वजनिक इंटरनेट से बाहर रहने के लिए बनाया गया है, जो रूटिंग का गुण है, सुरक्षा नहीं।

किसी साइट के भीतर सामान्य लेआउट सबनेट में विभाजित एक /48 वैश्विक ID है: एक टनल क्लाइंट के लिए, एक सर्वर पक्ष के लिए और हर दूरस्थ LAN के लिए एक। वही संरचना पूरा लाभ है, और यह एड्रेसिंग का लाभ है। हर पैकेट को अब भी एक रूट चाहिए और अब भी ऐसी नीति चाहिए जो उसे अनुमति दे।

प्रीफ़िक्स को टनल से मिला देना वह रास्ता है जिससे कोई डिज़ाइन fd00 पते दस्तावेज़ित करके यह मान लेता है कि उनके बीच का ट्रैफ़िक सुरक्षित है। ऐसा नहीं है, जब तक कुछ और सुरक्षा न दे रहा हो।

उदाहरण का प्रीफ़िक्स कॉपी करना क्यों चुभता है

हर ट्यूटोरियल एक याद रखने योग्य प्रीफ़िक्स इस्तेमाल करता है, और जो भी पाठक इसे कॉपी करता है वह वही टकराव जोखिम विरासत में पाता है। दो साइटें जो बाद में समान रेंज के साथ साइट-से-साइट टनल से जुड़ती हैं, ठीक वही अस्पष्टता पैदा करती हैं जो ओवरलैपिंग निजी IPv4 स्थान से जानी जाती है। कोई भी पक्ष अपने आप में गलत नहीं है, और संयुक्त नेटवर्क के पास यह जानने का कोई तरीका नहीं है कि कौन-सा गंतव्य अभीष्ट है।

दस्तावेज़ित प्रक्रिया से वैश्विक ID बनाने में एक मिनट लगता है और सवाल हट जाता है। एड्रेस योजना के पास प्रीफ़िक्स, निर्माण इनपुट और तारीख़ लिखें।

अधिग्रहण के बाद नेटवर्क मिलाने या VPN से दो प्रयोगशालाएँ जोड़ने वाले के लिए जोखिम सैद्धांतिक नहीं है। किसी एक साइट के लिए यह तत्काल भी नहीं है, इसलिए इसे तब तक टाला जाता है जब तक विलय पहले से निर्धारित न हो।

दायरा और पहुँच अलग-अलग सवाल हैं

ULA सामान्य वैश्विक रूप से रूट किए गए इंटरनेट एड्रेसिंग के लिए नहीं है। इससे हर वह होस्ट भरोसेमंद नहीं हो जाता जो इसका उपयोग करता है, और यह उन होस्टों को अन्य जुड़े निजी नेटवर्क से अप्राप्य नहीं बनाता। फ़ायरवॉल और एप्लिकेशन अनुमतियाँ अब भी तय करती हैं कि कोई पीयर क्या उपयोग कर सकता है, और टनल अब भी वह प्रमाणीकरण देता है जिसके साथ यह कॉन्फ़िगर था।

इंटरनेट निकास के लिए अपना अलग IPv6 निकास डिज़ाइन चाहिए। किसी क्लाइंट को ULA पता देने से मनमाने वैश्विक गंतव्यों तक पहुँच नहीं बनती, और जिस क्लाइंट को एक मिले उससे यह अपेक्षा नहीं करनी चाहिए कि वह उसके ज़रिये सार्वजनिक इंटरनेट ब्राउज़ करे।

अलग-अलग प्रीफ़िक्स वाली दो साइटों को अब भी एक-दूसरे की रेंज के लिए वापसी रूट चाहिए, और दोनों फ़ायरवॉल को मेल खाते नियम चाहिए। इसमें से कुछ भी एड्रेस परिवार से नहीं आता। जो आता है वह दस्तावेज़ीकरण का काम है: प्रीफ़िक्स की एक तालिका और उन सिस्टमों की सूची जिन्हें हर एक पर उत्तर देने की अनुमति है।

दोनों सिरों पर योजना जाँचें

पुष्टि करें कि प्रीफ़िक्स वहीं दिखता है जहाँ आप सोचते हैं, फिर पुष्टि करें कि कोई गंतव्य वास्तव में उसके ज़रिये पहुँच योग्य है।

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

पतों की सूची दिखाती है कि किस इंटरफ़ेस के पास कौन-सा सबनेट है, और गलत सबनेट मिला क्लाइंट आमतौर पर यहीं दिखाता है। रूट की सूची दिखाती है कि दूरस्थ प्रीफ़िक्स का टनल से होकर रास्ता है या वह गिरा दिया जाता है। जाँच एकमात्र महत्वपूर्ण सवाल का जवाब देती है: क्या पैकेट आना-जाना करता है।

फिर से जुड़ने के बाद जाँच दोहराएँ, क्योंकि जो क्लाइंट अपना पता रखता है पर रूट खो देता है वह ऐसा कनेक्शन बनाता है जो ऊपर दिखता है और कुछ भी आगे नहीं भेजता। पता आसान हिस्सा है, और रूट वह है जो गायब होता है। दोनों आउटपुट कनेक्शन प्रोफ़ाइल के नाम के पास सहेजें ताकि अगली तुलना साक्ष्य से शुरू हो।