IPv6 ULA u VPN-u: privatno adresiranje, a ne privatnost

Adrese koje izgledaju privatno nisu privatne u smislu koji većina ljudi podrazumijeva, a jedinstveno lokalno adresiranje IPv6 je najjasniji slučaj. ULA prefiks daje VPN-u stabilan interni plan za resurse iza njega. On ne šifrira ništa, ne autentificira drugu stranu i ne odlučuje kojim uslugama klijent smije pristupiti. Tretiranje prefiksa kao sigurnosne kontrole pogreška je koju ovaj članak treba ukloniti.

Što prefiks zapravo pruža

RFC 4193 izdvaja fc00::/7 za lokalnu upotrebu, pri čemu L bit razlikuje lokalno dodijeljen prostor od rezerviranog oblika. U praksi to znači da je fd00::/8 ono što generirate. Specifikacija također definira kako se 40-bitni globalni ID treba izvesti, kako nezavisne lokacije ne bi slučajno odabrale isti prefiks. Taj je prostor dizajniran da ostane izvan javnog interneta, što je svojstvo usmjeravanja, a ne zaštita.

Unutar lokacije uobičajen raspored je /48 globalni ID podijeljen u podmreže: jedna za klijente tunela, jedna za serversku stranu, jedna za svaku udaljenu LAN. Ta struktura je cijela korist, i to je korist adresiranja. Svaki paket još uvijek treba rutu i još uvijek treba politiku koja ga dopušta.

Miješanje prefiksa s tunelom način je na koji dizajn završi dokumentirajući fd00 adrese i pretpostavljajući da je promet između njih zaštićen. Nije, osim ako nešto drugo pruža zaštitu.

Zašto kopiranje primjera prefiksa boli

Svaki tutorijal koristi pamtljiv prefiks, a svaki čitatelj koji ga kopira nasljeđuje isti rizik kolizije. Dvije lokacije koje se kasnije povežu tunelom od lokacije do lokacije s identičnim rasponima proizvode upravo onu dvosmislenost poznatu iz preklapajućeg privatnog IPv4 prostora. Nijedna strana sama po sebi nije pogrešna, a kombinirana mreža nema načina reći koje se odredište misli.

Generiranje globalnog ID-a prema dokumentiranom postupku traje minutu i uklanja pitanje. Zabilježite prefiks, ulazne podatke generiranja i datum uz plan adresa.

Rizik nije teoretski za svakoga tko spaja mreže nakon akvizicije ili povezuje dva laboratorija preko VPN-a. Nije hitan ni za jednu lokaciju, zbog čega se odgađa dok spajanje već nije zakazano.

Opseg i pristup odvojena su pitanja

ULA nije namijenjen običnom globalno usmjerenom internetskom adresiranju. To ne čini svakog hosta koji ga koristi pouzdanim i ne čini te hostove nedostupnima iz drugih povezanih privatnih mreža. Vatrozidi i dopuštenja aplikacija i dalje odlučuju što druga strana smije koristiti, a tunel i dalje pruža onu autentifikaciju s kojom je konfiguriran.

Internetski izlaz treba vlastiti dizajn IPv6 izlaza. Dodjeljivanje ULA adrese klijentu ne stvara pristup proizvoljnim globalnim odredištima, a od klijenta koji je dobije ne treba očekivati da preko nje pregledava javni internet.

Dvije lokacije s različitim prefiksima i dalje trebaju povratne rute za raspone one druge, a oba vatrozida trebaju odgovarajuća pravila. Ništa od toga ne slijedi iz obitelji adresa. Ono što slijedi dokumentacijski je rad: tablica prefiksa i sustava kojima je dopušteno odgovarati na svakom od njih.

Provjerite plan na oba kraja

Potvrdite da se prefiks pojavljuje tamo gdje mislite da se pojavljuje, a zatim potvrdite da je odredište stvarno dostupno preko njega.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Popis adresa pokazuje koje sučelje drži koju podmrežu, a klijent koji je dobio pogrešnu to obično pokazuje ovdje. Popis ruta pokazuje ima li udaljeni prefiks put kroz tunel umjesto da bude odbačen. Test odgovara na jedino pitanje koje je važno, a to je čini li paket povratno putovanje.

Ponovite provjeru nakon ponovnog povezivanja, jer klijent koji zadrži adresu ali izgubi rutu stvara vezu koja izgleda podignuta i ništa ne prosljeđuje. Adresa je laki dio, a ruta je ono što nestaje. Spremite oba izlaza uz naziv profila veze kako bi sljedeća usporedba počela od dokaza.