Alamat Privasi IPv6 atau Daftar Izin RDP: Pilih Komprominya

Akses desktop jarak jauh berfungsi selama sebulan, lalu daftar izin berhenti cocok tanpa alasan yang terlihat oleh siapa pun. Host tidak berpindah dan tidak ada yang diedit di firewall. Windows terus membentuk alamat IPv6 sementara dengan pengenal antarmuka acak dan menariknya kembali, sehingga alamat sumber yang dilihat server pada hari tertentu bisa jadi salah satu yang tidak ditulis siapa pun ke dalam aturan. Menonaktifkan perilaku itu memperbaiki kecocokan dan sekaligus mengubah host menjadi pengenal berumur panjang. Timbang alternatifnya sebelum menerima paruh keduanya.

Mengapa aturan berhenti cocok

RFC 4941 menjelaskan alamat sementara: host membuat alamat tambahan dengan pengenal yang diacak dan mencabutnya, yang mencegah pengamat mengorelasikan satu host lintas kunjungan. Windows menerapkan perilaku itu, jadi alamat sumber kemarin belum tentu sama dengan hari ini. Alamat yang dapat diprediksi masih ada di antarmuka; hanya saja itu bukan alamat yang disukai koneksi keluar.

Itulah sebabnya kegagalan tampak terputus-putus, bukan menyeluruh. Aturan cocok selama beberapa waktu setelah alamat dibuat, berhenti cocok setelah alamat itu dicabut, dan mulai cocok lagi setelah seseorang mengeditnya. Pemantauan yang dikelompokkan menurut alamat sumber dan pemeriksaan lisensi yang terikat pada alamat host rusak pada jadwal yang sama. Aturan yang berfungsi tepat setelah diedit dan gagal tiga minggu kemudian biasanya adalah ini, bukan pemuatan ulang firewall.

Opsi satu: satu alamat stabil, privasi lebih sedikit

Perbaikan biasa mematikan kedua mekanisme rotasi pada host: netsh interface ipv6 set privacy state=disabled store=persistent dan netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Tambahkan store=active jika Anda ingin perubahan berlaku tanpa menunggu mulai ulang, dan terima bahwa Anda kini membuat pengenal itu dapat diprediksi di berbagai jaringan.

Keterprediksian itulah yang justru ingin dicegah oleh ekstensi tersebut. Alamat yang mengikuti host dari kafe ke kantor lalu ke rumah adalah kunci penyaringan yang nyaman dan kunci pelacakan yang sama nyamannya, dan sifat kedua hidup lebih lama daripada tiket yang meminta yang pertama.

Opsi dua: izinkan prefiks atau nama

Mengizinkan /64 alih-alih alamat lengkap menjaga rotasi tetap utuh dan sesuai dengan klaim yang lebih lemah tetapi sering jujur: mesin ini ada di jaringan rumah saya. Ini berhenti memadai begitu prefiks itu berisi host yang tidak akan Anda izinkan, yang pada koneksi konsumen biasanya himpunan lebih kecil daripada yang orang duga. Nama yang diterbitkan melalui DNS dinamis lebih mudah dioperasikan, karena catatan mengikuti host dan kebijakan terbaca sebagai identitas, bukan sebagai rentang yang tumbuh setiap kali perangkat ditambahkan.

Kedua opsi membutuhkan resolver yang dapat dipercaya server dan nama yang tidak mudah dipalsukan, jadi perlakukan keduanya sebagai keputusan kebijakan tentang identitas, bukan sebagai perubahan kosmetik pada aturan. Catat resolver mana yang menjawab nama itu, karena aturan hanya sekuat catatan di belakangnya.

Opsi tiga: biarkan terowongan menetapkan alamatnya

Jika koneksi melewati VPN yang Anda kendalikan, server dapat membagikan alamat dari kumpulannya sendiri, dan daftar izin kemudian merujuk nilai yang dipilih server, bukan yang disukai klien. Itu bekerja baik untuk klien terkelola dan buruk untuk apa pun yang dapat ditimpa klien, jadi verifikasi sisi mana yang benar-benar menang dalam penerapan Anda.

Memindahkan keputusan sepenuhnya dari alamat, ke sertifikat klien atau gateway yang diautentikasi, adalah opsi yang berskala, karena berhenti bergantung pada nilai yang berhak diubah sistem operasi.

Pilih dengan biaya pelacakan di depan mata

Tuliskan keempat opsi terhadap kebutuhan sebenarnya, dan pilih satu alih-alih menggabungkannya. Jika Anda tetap mematikan privasi, batasi pada host yang membutuhkannya, dokumentasikan alasannya di samping aturan, dan pertimbangkan pengalamatan stabil-privat dari RFC 7217 di tempat platform mendukungnya, karena pengalamatan itu menyimpan pengenal per prefiks tanpa memaparkan yang diturunkan dari perangkat keras. Aktifkan kembali ekstensi itu ketika daftar izin diganti.

Catat perubahan di samping aturan yang didukungnya. Tanpa catatan itu, administrator berikutnya menemukan host dengan ekstensi privasi mati dan tanpa penjelasan, lalu menyalakannya lagi saat pembersihan.