IPv6 მისამართები თქვენს VPN-ს არ ცვლის: გაიარეთ საწყისი სამუშაო

გახსენით კლიენტის სტატუსის გვერდი, ნახეთ გლობალური IPv6 მისამართი და ცდუნება ის არის, რომ დაასკვნათ: გვირაბი ახლა არასავალდებულო გახდა. ეს გვერდი აჩვენებს მისამართს და არა დაშიფვრის საზღვარს, არა კერძო მარშრუტიზაციის ცხრილს და არა წვდომის გადაწყვეტილებას. VPN ჩვეულებრივ სამ საქმეს ერთდროულად ასრულებს და IPv6 ეხება მხოლოდ იმას, რაც მწირი მისამართების გაზიარებას უკავშირდება. ერთი სერვისის კლიენტიდან მსმენელამდე გავლა ერთადერთი გზაა იმის სანახავად, რომელი საქმე გადარჩება ცვლილებას.

დაასახელეთ საქმე, სანამ ინსტრუმენტს მოხსნით

ადამიანები ამბობენ „VPN-ს”, როცა გულისხმობენ სამი მოწყობიდან ერთს და სამივე სხვადასხვა მიზეზით ვარდება. ერთი გუნდის მიერ გამოქვეყნებულ ერთ აპლიკაციამდე მისვლა აპლიკაციაზე წვდომის პრობლემაა. კერძო ქსელების განსაზღვრულ ნაკრებში გაწევრიანება, რათა რამდენიმე ადგილმა ერთმანეთამდე მიაღწიოს, მარშრუტიზაციის ურთიერთობაა. სტაბილური ადმინისტრაციული ფენის შენარჩუნება იმ ინფრასტრუქტურაზე, რომელსაც სრულად არ აკონტროლებთ, ოპერაციული მოწყობაა საკუთარი მისამართების გეგმით.

IPv6 პირველი მოწყობისთვის მისამართების გაზიარების დაბრკოლებას აშორებს და იქ ნამდვილ საქმეს აკეთებს, რადგან პირდაპირ მისამართს შეუძლია მთარგმნელი შეცვალოს. დანარჩენი ორისთვის არაფერს ცვლის, რადგან მოთხოვნა არასოდეს ყოფილა მისამართების უკმარისობა. ჩაწერეთ, სამიდან რომელს ამუშავებთ სინამდვილეში, სანამ კონფიგურაციას შეეხებით.

საჯარო მისამართი დაშიფვრა არ არის

გლობალური არეალის მისამართი გეუბნებათ, საიდან არის ჰოსტი ხელმისაწვდომი; ის არაფერს ამბობს იმაზე, დაშიფრულია თუ ავთენტიფიცირებულია იქ მისული ტრაფიკი. RFC 8504-ის უსაფრთხოების განხილვა გამოყოფს IPsec-ის იმპლემენტაციის მხარდაჭერას IPsec-ს, TLS-ს, SSH-სა და სხვა მიდგომებს შორის უფრო ფართო არჩევანისგან და სწორედ ის განსხვავება ქრება, როცა ხელმისაწვდომობას დაცვად კითხულობენ. მექანიზმის მხარდამჭერი სტეკი მხოლოდ იმას ამტკიცებს, რომ მექანიზმი ხელმისაწვდომია, არასოდეს იმას, რომ ეს ნაკადი მასში გაიარა. კერძოდ IPsec-ისთვის, მოლაპარაკებული ასოციაცია და მის მიერ არჩეული ტრაფიკი წყვეტს, რა არის დაცული, ხოლო მისამართების ოჯახი პაკეტის თვისებაა და არა პოლიტიკა მისთვის.

ხელმისაწვდომობა ისევ ცალკე საკითხია. საჯარო მისამართი არ იწვევს მოუთხოვნელი ტრაფიკის მოსვლას, რადგან მარშრუტს, ფაირვოლსა და მსმენელს თითო ხმა აქვს და NAT-ის მოხსნა ერთ ფილტრს აშორებს და არა ყველას. გადაწყვიტეთ, ამ სამიდან რომელს ცვლიდა გვირაბი, თუ საერთოდ.

რას კვლავ აძლევს გადაფარვა

გადაფარვა ჯერ კიდევ იმსახურებს თავის ადგილს სამ სიტუაციაში. დისტანციურ მომხმარებლებს შეიძლება სჭირდებოდეთ მარშრუტების გარკვეული ნაკრები და არა ერთი აპლიკაცია, ორ ადგილს შეიძლება სჭირდებოდეს კერძო ხელმისაწვდომობის შეთანხმება, ხოლო ოპერატორებს შეიძლება სურდეთ მისამართება, რომელიც არ იცვლება, როცა წვდომის პროვაიდერი იცვლება. არც ერთი სამიდან არ ეხება IPv4 მისამართების უკმარისობას.

გლობალური მისამართები ამას ტექნიკური მომსახურების გარეშე არ ტოვებს. მოწესრიგებული შიდა გეგმა არ ინარჩუნებს გარე ბოლო წერტილს პასუხისმგებელს მას შემდეგ, რაც პროვაიდერი შეცვლის მას, და ავთენტიფიკაციას, ხელახალ დაკავშირებასა და სახელების განახლებას კვლავ სჭირდება მფლობელი. გადაწყვიტეთ, როგორ აღდგება ესენი, სანამ რამეს გამორთავთ.

გაიარეთ სერვისი, რომელიც საჯარო ხდება

დაიწყეთ ჰოსტიდან და ჩამოთვალეთ, რა რეალურად უსმენს, რადგან თქვენ მიერ დამტკიცებული აპლიკაცია იშვიათად არის ერთადერთი რამ მანქანაზე. ss -lntup ბეჭდავს ყველა TCP და UDP მსმენელს თავისი მიბმის მისამართით და ამატებს მფლობელ პროცესს, სადაც თქვენი უფლებები იძლევა საშუალებას, რაც ერთი შეხედვით აჩვენებს, არის თუ არა ადმინისტრაციული ინტერფეისი ბუნებრივ მისამართზე თუ მხოლოდ loopback-ზე. გაიმეორეთ როგორც ss -6 -lntup, თუ თქვენი სტეკი IPv6 სოკეტებს ცალკე ინახავს.

შემდეგ დაალაგეთ ყოველი ხაზი აუდიტორიის მიხედვით. აპლიკაციის პორტი, რომელსაც საკუთარი ავთენტიფიკაცია და ტრანსპორტის უსაფრთხოება აქვს, შეიძლება ნორმალური იყოს საჯარო მისამართზე, მაშინ როცა ადმინისტრაციული ინტერფეისი, მეტრიკების ბოლო წერტილი და მონაცემთა ბაზის პორტი ჩვეულებრივ ასე არ არის. ერთი დამტკიცებული აპლიკაცია განსჯაა მხოლოდ იმ აპლიკაციაზე, არასოდეს ნებართვა ჰოსტის გამზიარებელი ყველა სერვისის გამოსახატად. თითოეული ხაზის მიბმის მისამართი გეუბნებათ, უკვე არსებობს თუ არა გამოვლენა თუ თქვენი დაგეგმილი ცვლილება შექმნიდა მას.

ორი ტესტი, შემდეგ გადაწყვიტეთ რა გამორთოთ

სანამ ფენას მოხსნით, უპასუხეთ ორ კითხვას ქაღალდზე. პირველი, სჭირდება თუ არა მოთხოვნას კერძო მარშრუტიზაცია, ანუ ხელმისაწვდომობა, რომელსაც საჯარო მისამართი არ გულისხმობს და წვდომის პროვაიდერი არ გვთავაზობს? მეორე, სჭირდება თუ არა დაცვის საზღვარი, ანუ დაშიფვრა და ავთენტიფიკაცია ნაკადზე, რომელიც სხვაგვარად ღიად გაივლიდა არასანდო გზას? თუ ორივე პასუხი ამ სერვისისთვის არაა, გვირაბი მოხსნის კანდიდატია; თუ რომელიმე კია, ის რჩება.

გაუშვით იგივე ტესტი IPv4-სა და IPv6-ზე ცალ-ცალკე ორმაგი სტეკის კლიენტზე, რადგან დაცული IPv4 ტრაფიკი არაფერს ამბობს IPv6 გზაზე. სტატუსის გვერდზე გლობალური IPv6 მისამართი გაჟონვის მტკიცებულება არ არის და მისი არარსებობა დაცვის მტკიცებულება არ არის. გამორთეთ მხოლოდ ის სერვისები, რომელთათვისაც ორივე პასუხი ჩაწერილია და ჯერ კიდევ არაა, და ცვლილებების ჟურნალში ჩაწერეთ, რომელმა კითხვამ გადაწყვიტა ეს.