IPv6アドレスはVPNの代わりにならない：元の仕事をたどる

クライアントの状態ページを開き、グローバルIPv6アドレスを見ると、トンネルはもう任意になったと結論したくなる。そのページが示すのはアドレスであって、暗号化の境界でも、プライベートルーティングテーブルでも、アクセスの判断でもない。VPNはたいてい三つの仕事を同時に担っており、IPv6が触れるのは希少なアドレスの共有に関する仕事だけだ。一つのサービスをクライアントからリスナーまでたどることだけが、変化のあとでどの仕事が残るかを見る唯一の方法である。

道具を外す前に仕事を名づける

人は三つの取り決めのうちの一つを指して「VPN」と言うが、三つはそれぞれ違う理由で失敗する。一つのチームが公開する一つのアプリケーションに届くことは、アプリケーションアクセスの問題である。複数の拠点が互いに届くように、定義されたプライベートネットワークの集合に加わることは、ルーティングの関係である。完全には制御していないインフラの上に安定した管理用のオーバーレイを保つことは、独自のアドレス計画を持つ運用上の取り決めである。

IPv6は最初の取り決めについてアドレス共有の障害を取り除き、直接のアドレスがトランスレータを置き換えられるので、そこでは実際の仕事をする。残る二つには何も変えない。要件はもともとアドレスの不足ではなかったからだ。設定に触れる前に、三つのうちどれを実際に動かしているのかを書き留める。

公開アドレスは暗号化ではない

グローバルスコープのアドレスはホストがどこから到達できるかを示すが、そこに届くトラフィックが暗号化されているか認証されているかは何も語らない。RFC 8504のセキュリティの議論は、IPsec実装のサポートを、IPsec、TLS、SSHその他のアプローチの間のより広い選択から切り離しており、それはまさに到達可能性を保護として読むときに消える区別である。あるメカニズムを支えるスタックは、そのメカニズムが利用可能であることだけを証明しており、このフローがそれを通ったことは決して証明していない。IPsecについて言えば、交渉されたアソシエーションとそれが選択するトラフィックが何を保護するかを決め、アドレスファミリーはパケットの属性であって、それに対する方針ではない。

到達可能性はまた別の問いである。公開アドレスは、求められていないトラフィックを届かせるものではない。経路、ファイアウォール、リスナーがそれぞれ一票を持ち、NATを外すのは一つのフィルタを外すことで、すべてを外すことではないからだ。トンネルがその三つのどれを代行していたのか、もしあったのなら、決めよう。

オーバーレイがまだ提供するもの

オーバーレイは三つの状況でまだその場所を稼いでいる。リモートユーザーは一つのアプリケーションではなく特定の経路集合を必要とするかもしれず、二つの拠点はプライベートな到達性の取り決めを必要とするかもしれず、運用者はアクセスプロバイダーが変わっても変わらないアドレス指定を望むかもしれない。三つのどれもIPv4アドレスの不足についてではない。

グローバルアドレスはそれをメンテナンス不要にはしない。整った内部計画は、プロバイダーが外部エンドポイントを変えた後もそれが応答し続けることを保証しない。認証、再接続、名前の更新には依然として担当者が要る。何かを止める前に、それらがどう回復するかを決めよう。

公開されるサービスをたどる

ホストから始めて、実際に何が待ち受けているかを列挙するのは、承認したアプリケーションがマシン上の唯一のものではめったにないからだ。ss -lntupはすべてのTCPとUDPのリスナーをバインドアドレス付きで出力し、権限が許す場合は所有プロセスも加える。これにより、管理インターフェースがワイルドカードアドレスにあるのかループバックだけにあるのかが一目でわかる。スタックがIPv6ソケットを別に保つなら、ss -6 -lntupとして繰り返す。

次に各行を対象者で分類する。独自の認証とトランスポートセキュリティを備えたアプリケーションポートは公開アドレスにあってもよいが、管理インターフェース、メトリクスのエンドポイント、データベースポートはたいていそうではない。承認された一つのアプリケーションはそのアプリケーションについての判断であり、ホストを共有するすべてのサービスを公開する許可では決してない。各行のバインドアドレスは、露出がすでにあるのか、計画中の変更で生じるのかを教えてくれる。

二つのテスト、それから何を止めるかを決める

層を外す前に、紙の上で二つの質問に答える。第一に、その要件はプライベートルーティングを必要とするか。つまり、公開アドレスが意味せず、アクセスプロバイダーが提供しない到達性のことである。第二に、保護の境界を必要とするか。つまり、そうでなければ信頼できない経路を平文で横切るフローに対する暗号化と認証のことである。そのサービスについて両方の答えがいいえなら、トンネルは撤去の候補であり、どちらかがはいなら残る。

デュアルスタックのクライアントで、IPv4とIPv6について別々に同じテストを実行しよう。保護されたIPv4トラフィックはIPv6経路について何も語らないからだ。状態ページのグローバルIPv6アドレスはリークの証拠ではなく、それが欠けていることも保護の証拠ではない。両方の答えが書き留められ、いまもいいえであるサービスだけを止め、どちらの質問がそう決めたかを変更記録に記す。