IPv6 ULA egy VPN-ben: privát címzés, nem magánélet

A privátnak látszó címek nem privátak abban az értelemben, ahogy a legtöbben értik, és az IPv6 egyedülálló helyi címzése a legvilágosabb eset. Az ULA-prefix stabil belső tervet ad egy VPN-nek a mögötte lévő erőforrásokhoz. Nem titkosít semmit, nem hitelesít egy partnert, és nem dönti el, mely szolgáltatásokat érhet el egy kliens. A prefix biztonsági kontrollként kezelése az a hiba, amelyet ez a cikk el kíván távolítani.

Mit nyújt valójában a prefix

Az RFC 4193 a helyi használatra különíti el a fc00::/7 tartományt, ahol az L bit különbözteti meg a helyben kiosztott teret a fenntartott formától. A gyakorlatban ez azt jelenti, hogy Ön fd00::/8 állít elő. A specifikáció azt is meghatározza, hogyan kell a 40 bites globális azonosítót levezetni, nehogy a független telephelyek véletlenül ugyanazt a prefixet válasszák. Ezt a teret úgy tervezték, hogy a nyilvános interneten kívül maradjon, ami útválasztási tulajdonság, nem védelem.

Egy telephelyen belül a szokásos elrendezés egy /48 globális azonosító, alhálózatokra osztva: egy az alagútklienseknek, egy a kiszolgáló oldalnak és egy minden távoli LAN-nak. Ez a szerkezet a teljes előny, és ez címzési előny. Minden csomagnak továbbra is kell egy útvonal, és továbbra is kell egy szabályzat, amely engedélyezi.

A prefix összekeverése egy alagúttal az az út, amelyen egy tervezés végül fd00 címeket dokumentál, és feltételezi, hogy a köztük lévő forgalom védett. Nem az, hacsak valami más nem nyújtja a védelmet.

Miért fáj a példaprefix másolása

Minden útmutató könnyen megjegyezhető prefixet használ, és minden olvasó, aki lemásolja, ugyanazt az ütközési kockázatot örökli. Két telephely, amelyeket később azonos tartományokkal kötnek össze telephelyek közötti alagúttal, pontosan azt a kétértelműséget hozza létre, amely az átfedő privát IPv4-terekből ismert. Egyik oldal sem hibás önmagában, és a kombinált hálózatnak nincs módja tudni, melyik célra gondolnak.

A globális azonosító dokumentált folyamat szerinti előállítása egy percet vesz igénybe, és megszünteti a kérdést. Jegyezze fel a prefixet, az előállítás bemenetét és a dátumot a címterv mellé.

A kockázat nem elméleti annak, aki felvásárlás után hálózatokat von össze, vagy két laboratóriumot VPN-en keresztül összeköt. Egyetlen telephely esetében sem sürgős, ezért addig halogatják, amíg az összevonás már be van ütemezve.

A hatókör és a hozzáférés külön kérdések

Az ULA nem a szokásos, globálisan irányított internetes címzésre készült. Ez nem teszi megbízhatóvá minden gazdagépet, amely használja, és nem teszi ezeket a gazdagépeket elérhetetlenné más kapcsolt privát hálózatokból. A tűzfalak és az alkalmazások engedélyei továbbra is eldöntik, mit használhat egy partner, és az alagút továbbra is nyújtja azt a hitelesítést, amellyel konfigurálták.

Az internetes kijáratnak saját IPv6 kijárati tervezésre van szüksége. Az ULA-cím hozzárendelése egy klienshez nem hoz létre hozzáférést tetszőleges globális célokhoz, és egy ilyet kapó kliens esetében nem szabad arra számítani, hogy azon keresztül a nyilvános interneten böngészik.

Két különböző prefixű telephelynek továbbra is szüksége van visszaútvonalakra a másik tartományaihoz, és mindkét tűzfalmak megfelelő szabályokra van szüksége. Ebből semmi sem következik a címcsaládból. Ami következik, az dokumentációs munka: a prefixek táblázata és azok a rendszerek, amelyeknek az egyes prefixeken válaszolniuk szabad.

Ellenőrizze a tervet mindkét végponton

Erősítse meg, hogy a prefix ott jelenik meg, ahol gondolja, majd erősítse meg, hogy egy cél valóban elérhető rajta keresztül.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

A címek listája megmutatja, melyik interfész melyik alhálózatot tartja, és a rosszat kapó kliens általában itt mutatja ezt. Az útvonalak listája megmutatja, hogy a távoli prefixnek van-e útja az alagúton keresztül, ahelyett hogy eldobnák. A vizsgálat az egyetlen fontos kérdésre válaszol: hogy a csomag megteszi-e az oda-vissza utat.

Ismételje meg az ellenőrzést újracsatlakozás után, mert az a kliens, amely megtartja a címét, de elveszíti az útvonalat, olyan kapcsolatot hoz létre, amely fent lévőnek látszik, és semmit nem továbbít. A cím a könnyű rész, és az útvonal az, ami eltűnik. Mentse mindkét kimenetet a kapcsolatprofil neve mellé, hogy a következő összehasonlítás bizonyítékokkal kezdődjön.