IPv6 adrese privatnosti ili RDP lista dozvola: odaberite kompromis

Pristup udaljenoj radnoj površini radio je mjesec dana, a zatim je lista dozvola prestala da se poklapa bez razloga koji je iko mogao vidjeti. Host se nije pomjerio i ništa na firewallu nije uređivano. Windows nastavlja da stvara privremene IPv6 adrese sa nasumičnim identifikatorima interfejsa i da ih povlači, pa adresa izvora koju server vidi u bilo kojem danu može biti ona koju niko nije upisao u pravilo. Isključivanje tog ponašanja popravlja poklapanje i istovremeno pretvara host u dugotrajni identifikator. Odvažite alternative prije nego što prihvatite drugu polovinu.

Zašto je pravilo prestalo da se poklapa

RFC 4941 opisuje privremene adrese: host stvara dodatne adrese sa nasumičnim identifikatorima i povlači ih, što posmatraču onemogućava da poveže jedan host između posjeta. Windows primjenjuje to ponašanje, pa jučerašnja adresa izvora nije nužno današnja. Predvidljiva adresa i dalje postoji na interfejsu; jednostavno nije ona koju odlazna veza preferira.

Zato kvar izgleda isprekidan, a ne potpun. Pravilo se poklapa neko vrijeme nakon što se adresa stvori, prestaje da se poklapa kada se povuče i ponovo počinje da se poklapa nakon što ga neko uredi. Nadzor grupisan po adresi izvora i provjere licenci vezane za adresu hosta padaju po istom rasporedu. Pravilo koje radi odmah nakon uređivanja i padne tri sedmice kasnije obično je ovo, a ne ponovno učitavanje firewalla.

Opcija jedan: jedna stabilna adresa, manje privatnosti

Uobičajeni popravak isključuje oba mehanizma rotacije na hostu: netsh interface ipv6 set privacy state=disabled store=persistent i netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Dodajte store=active ako želite da promjena stupi na snagu bez čekanja na restart, i prihvatite da ste sada učinili identifikator predvidljivim kroz mreže.

Ta predvidljivost je upravo ono što su ekstenzije napravljene da spriječe. Adresa koja prati host od kafića do kancelarije do kuće zgodan je ključ za filtriranje i jednako zgodan ključ za praćenje, a drugo svojstvo nadživljava tiket koji je tražio prvo.

Opcija dva: dozvolite prefiks ili ime

Dozvoljavanje /64 umjesto pune adrese čuva rotaciju netaknutom i odgovara slabijem ali često iskrenom tvrđenju: ova mašina je na mojoj kućnoj mreži. To prestaje biti dovoljno u trenutku kada taj prefiks sadrži hostove koje ne biste primili, a na korisničkoj vezi to je obično manji skup nego što ljudi pretpostavljaju. Ime objavljeno kroz dinamički DNS lakše je za upravljanje, jer zapis prati host i politika se čita kao identitet, a ne kao raspon koji raste kad god se doda uređaj.

Obje opcije trebaju resolver kojem server može vjerovati i ime koje nije trivijalno lažirati, pa ih tretirajte kao političku odluku o identitetu, a ne kao kozmetičku promjenu pravila. Zapišite koji resolver odgovara na to ime, jer pravilo je pouzdano samo onoliko koliko je pouzdan zapis iza njega.

Opcija tri: pustite tunel da dodijeli adresu

Ako veza prolazi kroz VPN koji kontrolišete, server može dodijeliti adresu iz svog pula, a lista dozvola tada upućuje na vrijednost koju bira server, a ne na onu koju klijent preferira. To dobro funkcioniše za upravljane klijente i loše za sve što klijent može nadjačati, pa provjerite koja strana stvarno pobjeđuje u vašem raspoređivanju.

Pomicanje odluke potpuno sa adrese, na klijentski certifikat ili autentifikovani gateway, je opcija koja skalira, jer prestaje zavisiti od vrijednosti koju operativni sistem ima pravo promijeniti.

Birajte s obzirom na cijenu praćenja

Zapišite četiri opcije prema stvarnom zahtjevu i odaberite jednu umjesto da ih kombinujete. Ako ipak isključite privatnost, ograničite je na host kojem treba, dokumentujte razlog uz pravilo i razmotrite stabilno-privatno adresiranje iz RFC 7217 tamo gdje ga platforma podržava, jer ono čuva identifikator po prefiksu bez otkrivanja onog izvedenog iz hardvera. Ponovo omogućite ekstenzije kada lista dozvola bude zamijenjena.

Zabilježite promjenu uz pravilo koje podržava. Bez te napomene sljedeći administrator zatiče host sa isključenim ekstenzijama privatnosti i bez objašnjenja, pa ih ponovo uključi tokom čišćenja.