IPv6 գաղտնիության հասցեներ, թե՞ RDP թույլատրելի ցանկ. ընտրեք փոխզիջումը

Հեռավոր աշխատասեղանի մուտքը մեկ ամիս աշխատեց, և հետո թույլատրելի ցանկը դադարեց համընկնել առանց որևէ տեսանելի պատճառի։ Հոսթը չէր տեղափոխվել, և հրաբորբում ոչինչ չէր խմբագրվել։ Windows-ը շարունակում է ստեղծել IPv6 ժամանակավոր հասցեներ պատահական ինտերֆեյսի նույնացուցիչներով և դուրս բերել դրանք, ուստի աղբյուրի հասցեն, որը սերվերը տեսնում է ցանկացած օր, կարող է լինել մեկը, որը ոչ ոք չի գրել կանոնում։ Այդ վարքագծի անջատումը շտկում է համընկնումը և միաժամանակ հոսթը դարձնում է երկարատև նույնացուցիչ։ Կշռեք այլընտրանքները՝ նախքան երկրորդ կեսն ընդունելը։

Ինչու կանոնը դադարեց համընկնել

RFC 4941-ը նկարագրում է ժամանակավոր հասցեներ՝ հոսթը ստեղծում է լրացուցիչ հասցեներ պատահականացված նույնացուցիչներով և դուրս է բերում դրանք, ինչը խանգարում է դիտորդին մեկ հոսթը կապել այցերի միջև։ Windows-ը իրականացնում է այդ վարքագիծը, ուստի երեկվա աղբյուրի հասցեն պարտադիր չէ, որ այսօրվանը լինի։ Կանխատեսելի հասցեն դեռ գոյություն ունի ինտերֆեյսում՝ պարզապես այն այն չէ, որին նախընտրում է ելքային կապը։

Ահա թե ինչու խափանումը թվում է ընդհատվող, այլ ոչ թե ամբողջական։ Կանոնը համընկնում է հասցեի ստեղծումից որոշ ժամանակ, դադարում է համընկնել, երբ այն դուրս է բերվում, և նորից սկսում է համընկնել այն բանից հետո, երբ ինչ-որ մեկը խմբագրում է այն։ Աղբյուրի հասցեով խմբավորված մոնիտորինգը և հոսթի հասցեին կապված լիցենզիայի ստուգումները կոտրվում են նույն ժամանակացույցով։ Կանոնը, որն աշխատում է խմբագրումից անմիջապես հետո և ձախողվում է երեք շաբաթ անց, սովորաբար սա է, ոչ թե հրաբորբի վերաբեռնումը։

Տարբերակ առաջին՝ մեկ կայուն հասցե, ավելի քիչ գաղտնիություն

Սովորական վերանորոգումը անջատում է հոսթի պտտման երկու մեխանիզմները՝ netsh interface ipv6 set privacy state=disabled store=persistent և netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent։ Ավելացրեք store=active, եթե ցանկանում եք, որ փոփոխությունն ուժի մեջ մտնի առանց վերագործարկման սպասելու, և ընդունեք, որ դուք այժմ նույնացուցիչը դարձրել եք կանխատեսելի ցանցերի միջև։

Այդ կանխատեսելիությունը հենց այն է, ինչի կանխարգելման համար ստեղծվել են ընդլայնումները։ Հասցեն, որը հոսթին հետևում է սրճարանից գրասենյակ և տուն, հարմար զտիչ բանալի է և նույնքան հարմար հետագծման բանալի, և երկրորդ հատկությունը ապրում է ավելի երկար, քան այն տոմսը, որը պահանջել է առաջինը։

Տարբերակ երկրորդ՝ թույլատրել նախադասություն կամ անուն

Ամբողջ հասցեի փոխարեն /64-ը թույլատրելը պահպանում է պտույտը անձեռնմխելի և համապատասխանում է ավելի թույլ, բայց հաճախ ազնիվ պնդմանը՝ այս մեքենան իմ տնային ցանցում է։ Այն դադարում է բավարար լինել այն պահին, երբ այդ նախադասությունը պարունակում է հոսթեր, որոնց դուք չէիք թույլատրի, ինչը սպառողական կապի վրա սովորաբար ավելի փոքր բազմություն է, քան մարդիկ ենթադրում են։ Դինամիկ DNS-ի միջոցով հրապարակված անունը ավելի հեշտ է շահագործել, քանի որ գրառումը հետևում է հոսթին, և քաղաքականությունը կարդացվում է որպես ինքնություն, այլ ոչ թե որպես տիրույթ, որն աճում է յուրաքանչյուր սարք ավելացնելիս։

Երկու տարբերակներն էլ պահանջում են լուծիչ, որին սերվերը կարող է վստահել, և անուն, որը հեշտությամբ չի կարող կեղծվել, ուստի վերաբերվեք դրանց որպես ինքնության մասին քաղաքական որոշման, այլ ոչ թե կանոնի կոսմետիկ փոփոխության։ Գրեք, թե որ լուծիչն է պատասխանում այդ անվանը, որովհետև կանոնը նույնքան վստահելի է, որքան նրա հետևում գտնվող գրառումը։

Տարբերակ երրորդ՝ թող թունելը նշանակի հասցեն

Եթե կապն անցնում է ձեր կողմից վերահսկվող VPN-ով, ապա սերվերը կարող է հասցեն տրամադրել իր իսկ լողավազանից, և թույլատրելի ցանկն այնուհետև հղում է անում սերվերի ընտրած արժեքին, այլ ոչ թե այն արժեքին, որը նախընտրում է հաճախորդը։ Դա լավ է աշխատում կառավարվող հաճախորդների համար և վատ՝ այն ամենի համար, ինչը հաճախորդը կարող է շրջանցել, ուստի ստուգեք, թե որ կողմն է իրականում հաղթում ձեր տեղակայման մեջ։

Որոշումը հասցեից ամբողջությամբ հեռացնելը՝ դեպի հաճախորդի վկայագիր կամ նույնականացված դարպաս, այն տարբերակն է, որը մասշտաբավորվում է, որովհետև այն դադարում է կախված լինել այն արժեքից, որը օպերացիոն համակարգն իրավունք ունի փոխելու։

Ընտրեք՝ նկատի ունենալով հետագծման ծախսը

Գրեք չորս տարբերակները իրական պահանջի դիմաց և ընտրեք մեկը՝ դրանք համադրելու փոխարեն։ Եթե այնուամենայնիվ անջատում եք գաղտնիությունը, սահմանափակեք այն այն հոսթով, որին դա պետք է, փաստաթղթավորեք պատճառը կանոնի կողքին, և հաշվի առեք RFC 7217-ի կայուն-գաղտնի հասցեավորումը այնտեղ, որտեղ հարթակը դա աջակցում է, քանի որ այն պահում է նույնացուցիչ յուրաքանչյուր նախադասության համար՝ չբացահայտելով սարքաշարից ստացվածը։ Երբ թույլատրելի ցանկը փոխարինվի, նորից միացրեք ընդլայնումները։

Գրանցեք փոփոխությունը այն կանոնի կողքին, որին այն աջակցում է։ Առանց այդ նշումի հաջորդ ադմինիստրատորը գտնում է հոսթ՝ գաղտնիության ընդլայնումներն անջատված և առանց բացատրության, և մաքրման ընթացքում նորից միացնում է դրանք։