IPv6 ULA di VPN: pengalamatan privat, bukan privasi

Alamat yang tampak privat tidak privat dalam arti yang dimaksud kebanyakan orang, dan pengalamatan unik lokal IPv6 adalah kasus yang paling jelas. Prefiks ULA memberi VPN rencana internal yang stabil untuk sumber daya di belakangnya. Prefiks itu tidak mengenkripsi apa pun, tidak mengautentikasi peer, dan tidak menentukan layanan mana yang boleh dijangkau klien. Memperlakukan prefiks sebagai kontrol keamanan adalah kesalahan yang hendak dihapus artikel ini.

Apa yang sebenarnya diberikan prefiks

RFC 4193 menyisihkan fc00::/7 untuk penggunaan lokal, dengan bit L membedakan ruang yang ditetapkan secara lokal dari bentuk yang dicadangkan. Dalam praktiknya itu berarti fd00::/8 yang Anda hasilkan. Spesifikasi juga mendefinisikan bagaimana ID global 40-bit harus diturunkan, agar situs independen tidak memilih prefiks yang sama secara tidak sengaja. Ruang itu dirancang untuk tetap di luar internet publik, yang merupakan sifat perutean dan bukan perlindungan.

Di dalam satu situs, tata letak biasanya adalah ID global /48 yang dibagi menjadi subnet: satu untuk klien tunnel, satu untuk sisi server, dan satu untuk setiap LAN jarak jauh. Struktur itulah seluruh manfaatnya, dan itu manfaat pengalamatan. Setiap paket tetap memerlukan rute dan tetap memerlukan kebijakan yang mengizinkannya.

Mengacaukan prefiks dengan tunnel adalah cara sebuah desain berakhir mendokumentasikan alamat fd00 dan mengasumsikan lalu lintas di antaranya terlindungi. Tidak demikian, kecuali ada hal lain yang melakukan perlindungan.

Mengapa menyalin prefiks contoh menyakitkan

Setiap tutorial memakai prefiks yang mudah diingat, dan setiap pembaca yang menyalinnya mewarisi risiko tabrakan yang sama. Dua situs yang kemudian terhubung melalui tunnel situs-ke-situs dengan rentang identik menghasilkan persis ambiguitas yang dikenal dari ruang IPv4 privat yang tumpang tindih. Tidak ada pihak yang salah dengan sendirinya, dan jaringan gabungan tidak punya cara mengetahui tujuan mana yang dimaksud.

Menghasilkan ID global menurut proses yang didokumentasikan memerlukan satu menit dan menghapus pertanyaan itu. Catat prefiks, masukan pembangkitan, dan tanggalnya di samping rencana alamat.

Risikonya bukan teoretis bagi siapa pun yang menggabungkan jaringan setelah akuisisi atau menghubungkan dua laboratorium lewat VPN. Risiko itu juga tidak mendesak untuk satu situs, itulah sebabnya ditunda sampai penggabungan sudah dijadwalkan.

Cakupan dan akses adalah pertanyaan terpisah

ULA tidak dimaksudkan untuk pengalamatan internet biasa yang dirutekan secara global. Itu tidak membuat setiap host yang memakainya tepercaya, dan tidak membuat host tersebut tak terjangkau dari jaringan privat lain yang terhubung. Firewall dan izin aplikasi tetap menentukan apa yang boleh dipakai peer, dan tunnel tetap menyediakan autentikasi yang dengannya ia dikonfigurasi.

Sebuah jalan keluar internet memerlukan desain egress IPv6 sendiri. Menetapkan alamat ULA ke klien tidak menciptakan akses ke tujuan global sembarangan, dan klien yang menerimanya tidak seharusnya diharapkan menjelajahi internet publik melaluinya.

Dua situs dengan prefiks berbeda tetap memerlukan rute balik untuk rentang satu sama lain, dan kedua firewall memerlukan aturan yang cocok. Tidak ada satu pun dari itu yang mengikuti dari keluarga alamat. Yang mengikuti adalah pekerjaan dokumentasi: tabel prefiks dan sistem yang diizinkan menjawab pada masing-masing.

Periksa rencana di kedua ujung

Pastikan prefiks muncul di tempat yang Anda kira, lalu pastikan sebuah tujuan benar-benar dapat dijangkau melaluinya.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Daftar alamat menunjukkan antarmuka mana yang memiliki subnet mana, dan klien yang menerima subnet keliru biasanya menunjukkannya di sini. Daftar rute menunjukkan apakah prefiks jarak jauh punya jalur melalui tunnel alih-alih dibuang. Uji itu menjawab satu-satunya pertanyaan yang penting: apakah sebuah paket melakukan perjalanan pulang-pergi.

Ulangi pemeriksaan setelah menyambung ulang, karena klien yang mempertahankan alamatnya tetapi kehilangan rute menghasilkan koneksi yang tampak aktif dan tidak meneruskan apa pun. Alamat adalah bagian yang mudah, dan rute adalah yang menghilang. Simpan kedua keluaran di samping nama profil koneksi agar perbandingan berikutnya dimulai dari bukti.