IPv6 persónuverndarheimilisföng eða RDP leyfislisti: veldu málamiðlunina

Fjartölvuþjónustuaðgangur virkaði í mánuð, og þá hætti leyfislistinn að passa án nokkurrar sýnilegrar ástæðu. Hýsillinn hafði ekki flutt sig og ekkert í eldveggnum hafði verið breytt. Windows heldur áfram að mynda tímabundin IPv6 heimilisföng með slembnum auðkennum tengi og afturkalla þau, svo upprunalega heimilisfangið sem þjónninn sér hvern dag getur verið eitt sem enginn skrifaði í regluna. Að slökkva á þessari hegðun lagar samsvörunina og gerir hýsilinn að langlífu auðkenni á sama tíma. Veguðu valkostina áður en þú samþykkir seinni hlutann.

Hvers vegna reglan hætti að passa

RFC 4941 lýsir tímabundnum heimilisföngum: hýsillinn býr til viðbótarheimilisföng með slembuðum auðkennum og afturkallar þau, sem kemur í veg fyrir að áhorfandi tengi einn hýsil milli heimsókna. Windows útfærir þessa hegðun, svo upprunalega heimilisfangið í gær er ekki endilega það sama í dag. Fyrirsjáanlega heimilisfangið er enn til á tenginu; það er bara ekki það sem útleiðandi tenging kýs.

Þess vegna virðist bilunin slitrótt frekar en algjör. Reglan passar um stund eftir að heimilisfangið er búið til, hættir að passa þegar það er afturkallað og byrjar að passa aftur eftir að einhver breytir því. Vöktun flokkuð eftir upprunalegu heimilisfangi og leyfisathuganir sem byggja á heimilisfangi hýsilsins bregðast á sama tímaáætlun. Regla sem virkar strax eftir breytingu og bregst þremur vikum síðar er venjulega þetta, ekki endurhleðsla eldveggsins.

Valkostur einn: eitt stöðugt heimilisfang, minna persónuvernd

Venjuleg viðgerð slekkur á báðum snúningsaðferðunum á hýsilnum: netsh interface ipv6 set privacy state=disabled store=persistent og netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Bættu store=active við ef þú vilt að breytingin taki gildi án þess að bíða eftir endurræsingu, og samþykktu að þú hefur nú gert auðkennið fyrirsjáanlegt milli neta.

Þessi fyrirsjáanleiki er einmitt það sem viðbæturnar voru byggðar til að koma í veg fyrir. Heimilisfang sem fylgir hýsilnum frá kaffihúsi á skrifstofu og heim er þægilegur síunarlykill og jafn þægilegur rekstrarlykill, og seinni eiginleikinn lifir lengur en miðinn sem bað um þann fyrri.

Valkostur tveir: leyfa forskeyti eða nafn

Að leyfa /64 í stað fulls heimilisfangs heldur snúningnum óskertum og passar við veikari en oft heiðarlega fullyrðingu: þessi vél er á heimanetinu mínu. Það hættir að duga um leið og það forskeyti inniheldur hýsla sem þú myndir ekki hleypa inn, sem á neytendatengingu er venjulega minna mengi en fólk gerir ráð fyrir. Nafn sem birt er í gegnum kvikt DNS er auðveldara í rekstri, því færslan fylgir hýsilnum og stefnan lesin sem auðkenni frekar en sem bil sem stækkar í hvert sinn sem tæki er bætt við.

Báðir valkostir þurfa uppflettiveitu sem þjónninn getur treyst og nafn sem ekki er auðvelt að falsa, svo meðhöndlaðu þá sem stefnuákvörðun um auðkenni frekar en sem snyrtilega breytingu á reglunni. Skrifaðu niður hvaða uppflettiveita svarar því nafni, því reglan er aðeins jafn áreiðanleg og færslan á bak við hana.

Valkostur þrír: láttu göngin úthluta heimilisfanginu

Ef tengingin fer í gegnum VPN sem þú stjórnar getur þjónninn afhent heimilisfangið úr eigin laug, og leyfislistinn vísar þá í gildi sem þjónninn velur frekar en það sem biðlarinn kýs. Það virkar vel fyrir stýrða biðlara og illa fyrir allt sem biðlarinn getur hnekkt, svo staðfesti hvor hliðin vinnur í raun í uppsetningunni þinni.

Að færa ákvörðunina algjörlega frá heimilisfanginu, yfir í biðlaraskírteini eða auðkenndan gátt, er valkosturinn sem skalar, því hann hættir að reiða sig á gildi sem stýrikerfinu er heimilt að breyta.

Veldu með rekstrarkostnaðinn í huga

Skrifaðu valkostina fjóra upp gegn raunverulegu kröfunni og veldu einn í stað þess að sameina þá. Ef þú slekkur samt á persónuvernd skaltu takmarka hana við hýsilinn sem þarf á henni að halda, skjalfesta ástæðuna við hlið reglunnar og íhuga stöðugt-persónulegt heimilisföngun frá RFC 7217 þar sem kerfið styður það, því það heldur auðkenni fyrir hvert forskeyti án þess að afhjúpa það sem er leitt af vélbúnaðinum. Virkjaðu viðbæturnar aftur þegar leyfislistanum er skipt út.

Skráðu breytinguna við hlið reglunnar sem hún styður. Án þessarar athugasemdar finnur næsti stjórnandi hýsil með persónuverndarviðbætur slökktar og enga skýringu, og kveikir á þeim aftur í hreinsun.