Alamat IPv6 tidak menggantikan VPN Anda: telusuri pekerjaan aslinya

Buka halaman status klien, lihat alamat IPv6 global, dan godaannya adalah menyimpulkan bahwa terowongan sudah menjadi opsional. Halaman itu menunjukkan alamat, bukan batas enkripsi, bukan tabel perutean privat, dan bukan keputusan akses. VPN biasanya membawa tiga pekerjaan sekaligus, dan IPv6 hanya menyentuh pekerjaan tentang berbagi alamat yang langka. Menelusuri satu layanan dari klien sampai pendengar adalah satu-satunya cara melihat pekerjaan mana yang bertahan dari perubahan.

Sebutkan pekerjaannya sebelum mencabut alatnya

Orang mengatakan „VPN” ketika yang mereka maksud salah satu dari tiga pengaturan, dan ketiganya gagal karena alasan berbeda. Menjangkau satu aplikasi yang diterbitkan satu tim adalah masalah akses aplikasi. Bergabung dengan sekumpulan jaringan privat yang ditetapkan agar beberapa situs dapat saling menjangkau adalah hubungan perutean. Mempertahankan lapisan administratif yang stabil di atas infrastruktur yang tidak sepenuhnya Anda kendalikan adalah pengaturan operasi dengan rencana pengalamatannya sendiri.

IPv6 menghapus hambatan berbagi alamat untuk pengaturan pertama, dan di situ ia melakukan kerja nyata, karena alamat langsung dapat menggantikan penerjemah. Bagi dua lainnya ia tidak mengubah apa pun, karena kebutuhannya tidak pernah kelangkaan alamat. Tuliskan mana dari ketiganya yang benar-benar Anda jalankan sebelum menyentuh konfigurasi.

Alamat publik bukan enkripsi

Alamat dengan cakupan global memberi tahu Anda di mana sebuah host dapat dijangkau; ia tidak mengatakan apa pun tentang apakah lalu lintas yang tiba di sana terenkripsi atau terautentikasi. Pembahasan keamanan RFC 8504 memisahkan dukungan implementasi IPsec dari pilihan yang lebih luas antara IPsec, TLS, SSH, dan pendekatan lain, dan itulah tepatnya pembedaan yang hilang ketika keterjangkauan dibaca sebagai perlindungan. Tumpukan yang mendukung suatu mekanisme hanya membuktikan bahwa mekanisme itu tersedia, tidak pernah bahwa aliran ini melewatinya. Untuk IPsec khususnya, asosiasi yang dinegosiasikan dan lalu lintas yang dipilihnya menentukan apa yang dilindungi, dan keluarga alamat adalah sifat paket, bukan kebijakan untuknya.

Keterjangkauan adalah pertanyaan terpisah lagi. Alamat publik tidak membuat lalu lintas yang tidak diminta tiba, karena rute, tembok api, dan pendengar masing-masing punya suara, dan menghapus NAT menghapus satu filter, bukan semuanya. Putuskan mana dari ketiganya yang digantikan terowongan, jika ada.

Apa yang masih disediakan lapisan atas

Lapisan atas masih mendapat tempatnya dalam tiga situasi. Pengguna jarak jauh mungkin memerlukan sekumpulan rute tertentu, bukan satu aplikasi, dua situs mungkin memerlukan kesepakatan keterjangkauan privat, dan operator mungkin menginginkan pengalamatan yang tidak berubah ketika penyedia akses berubah. Tidak satu pun dari ketiganya tentang kelangkaan alamat IPv4.

Alamat global tidak membuatnya bebas perawatan. Rencana internal yang rapi tidak menjaga titik akhir luar tetap menjawab setelah penyedianya mengubahnya, dan autentikasi, penyambungan ulang, serta pembaruan nama tetap memerlukan pemilik. Putuskan bagaimana hal-hal itu pulih sebelum ada yang dimatikan.

Telusuri layanan yang menjadi publik

Mulailah dari host dan daftar apa yang benar-benar mendengarkan, karena aplikasi yang Anda setujui jarang menjadi satu-satunya hal di mesin. ss -lntup mencetak setiap pendengar TCP dan UDP dengan alamat ikatnya dan menambahkan proses pemiliknya di mana hak istimewa Anda mengizinkan, yang dengan sekali lihat menunjukkan apakah antarmuka manajemen berada di alamat wildcard atau hanya di loopback. Ulangi sebagai ss -6 -lntup jika tumpukan Anda menyimpan soket IPv6 secara terpisah.

Lalu klasifikasikan setiap baris menurut audiensnya. Port aplikasi yang membawa autentikasi dan keamanan transportnya sendiri mungkin baik-baik saja di alamat publik, sedangkan antarmuka administratif, titik akhir metrik, dan port basis data biasanya tidak. Satu aplikasi yang disetujui adalah penilaian tentang aplikasi itu saja, tidak pernah izin untuk mengekspos setiap layanan yang berbagi host. Alamat ikat pada setiap baris memberi tahu Anda apakah paparan sudah ada atau akan dibuat oleh perubahan yang Anda rencanakan.

Dua uji, lalu putuskan apa yang dimatikan

Sebelum mencabut lapisan, jawab dua pertanyaan di atas kertas. Pertama, apakah kebutuhan itu memerlukan perutean privat, yaitu keterjangkauan yang tidak tersirat oleh alamat publik dan tidak ditawarkan penyedia akses? Kedua, apakah ia memerlukan batas perlindungan, yaitu enkripsi dan autentikasi pada aliran yang jika tidak akan melintasi jalur tidak tepercaya secara terbuka? Jika kedua jawabannya tidak untuk layanan itu, terowongan adalah kandidat untuk dicabut; jika salah satunya ya, ia tetap ada.

Jalankan uji yang sama pada IPv4 dan IPv6 secara terpisah pada klien dual-stack, karena lalu lintas IPv4 yang dilindungi tidak menjelaskan apa pun tentang jalur IPv6. Alamat IPv6 global di halaman status bukan bukti kebocoran, dan ketiadaannya bukan bukti perlindungan. Matikan hanya layanan yang kedua jawabannya ditulis dan masih tidak, dan catat di catatan perubahan pertanyaan mana yang memutuskannya.