IPv6 ULA VPN-ში: კერძო მისამართები, და არა კონფიდენციალურობა

კერძოდ რომ გამოიყურება მისამართები, არ არის კერძო იმ გაგებით, რაც უმეტესობას გულისხმობს, და IPv6-ის უნიკალურ-ლოკალური მისამართვა ამის ყველაზე ნათელი შემთხვევაა. ULA პრეფიქსი VPN-ს აძლევს სტაბილურ შიდა გეგმას მის უკან არსებული რესურსებისთვის. ის არაფერს შიფრავს, არ ადასტურებს პარტნიორს და არ წყვეტს, რომელ სერვისებზე შეიძლება მიაღწიოს კლიენტმა. პრეფიქსის უსაფრთხოების კონტროლად მიჩნევა ის შეცდომაა, რომლის აღმოფხვრასაც ეს სტატია ისახავს მიზნად.

რას იძლევა პრეფიქსი სინამდვილეში

RFC 4193 გამოყოფს fc00::/7 ლოკალური გამოყენებისთვის, სადაც L ბიტი ლოკალურად მინიჭებულ სივრცეს რეზერვირებული ფორმისგან გამოყოფს. პრაქტიკაში ეს ნიშნავს, რომ თქვენ ქმნით fd00::/8-ს. სპეციფიკაცია ასევე განსაზღვრავს, როგორ უნდა გამოიტანოს 40-ბიტიანი გლობალური ID, რათა დამოუკიდებელმა საიტებმა შემთხვევით არ აირჩიონ იგივე პრეფიქსი. ეს სივრცე შექმნილია საჯარო ინტერნეტის გარეთ დარჩენისთვის, რაც მარშრუტიზაციის თვისებაა და არა დაცვა.

საიტის შიგნით ჩვეულებრივი განლაგებაა /48 გლობალური ID, რომელიც ქვექსელებად იყოფა: ერთი გვირაბის კლიენტებისთვის, ერთი სერვერის მხარისთვის და ერთი ყოველი დისტანციური LAN-ისთვის. ეს სტრუქტურა მთელი სარგებელია და ეს მისამართვის სარგებელია. ყოველ პაკეტს კვლავ სჭირდება მარშრუტი და კვლავ სჭირდება პოლიტიკა, რომელიც დაუშვებს მას.

პრეფიქსის გვირაბთან არევა ის გზაა, რომლითაც დიზაინი ასრულებს fd00 მისამართების დოკუმენტირებას და ვარაუდობს, რომ მათ შორის ტრაფიკი დაცულია. ეს ასე არ არის, თუ სხვა რამ არ უზრუნველყოფს დაცვას.

რატომ აწუხებს მაგალითის პრეფიქსის კოპირება

ყოველი გაკვეთილი იყენებს დამახსოვრებად პრეფიქსს და ყოველი მკითხველი, რომელიც მას კოპირებს, იღებს მემკვიდრეობით იმავე შეჯახების რისკს. ორი საიტი, რომლებიც მოგვიანებით ერთი და იმავე დიაპაზონებით საიტ-საიტ გვირაბით უკავშირდებიან, ქმნიან ზუსტად იმ გაურკვევლობას, რაც ცნობილია გადაფარული კერძო IPv4 სივრციდან. არც ერთი მხარე თავისთავად არ არის მცდარი და გაერთიანებულ ქსელს არ აქვს საშუალება იცოდეს რომელი დანიშნულება იგულისხმება.

გლობალური ID-ის დოკუმენტირებული პროცესით შექმნა ერთ წუთს იკავებს და კითხვას აშორებს. ჩაწერეთ პრეფიქსი, შექმნის შეყვანა და თარიღი მისამართების გეგმის გვერდით.

რისკი თეორიული არ არის მათთვის, ვინც შესყიდვის შემდეგ ქსელებს აერთიანებს ან VPN-ით ორ ლაბორატორიას აკავშირებს. ის ასევე არ არის სასწრაფო ერთი საიტისთვის, ამიტომ გადაიდება მანამ, სანამ გაერთიანება უკვე დაგეგმილი იქნება.

მოცულობა და წვდომა ცალკე კითხვებია

ULA არ არის განკუთვნილი ჩვეულებრივი გლობალურად მარშრუტიზებული ინტერნეტ მისამართვისთვის. ეს არ ხდის სანდოს ყოველ ჰოსტს, რომელიც მას იყენებს, და არ ხდის ამ ჰოსტებს მიუწვდომელს სხვა დაკავშირებული კერძო ქსელებიდან. firewall-ები და აპლიკაციების ნებართვები კვლავ წყვეტენ, რისი გამოყენება შეიძლება პარტნიორმა, და გვირაბი კვლავ უზრუნველყოფს იმ ავთენტიფიკაციას, რომლითაც ის კონფიგურირდა.

ინტერნეტ გასასვლელს სჭირდება საკუთარი IPv6 გასასვლელის დიზაინი. კლიენტისთვის ULA მისამართის მინიჭება არ ქმნის წვდომას თვითნებურ გლობალურ დანიშნულებებზე და მიმღები კლიენტისგან არ უნდა ველოდოთ საჯარო ინტერნეტის დათვალიერებას მისი მეშვეობით.

სხვადასხვა პრეფიქსის მქონე ორ საიტს კვლავ სჭირდება დაბრუნების მარშრუტები ერთმანეთის დიაპაზონებისთვის და ორივე firewall-ს სჭირდება შესაბამისი წესები. ამათგან არაფერი გამომდინარეობს მისამართების ოჯახიდან. რაც გამომდინარეობს, დოკუმენტირების სამუშაოა: პრეფიქსების ცხრილი და სისტემები, რომლებსაც ნებადართული აქვთ უპასუხონ თითოეულ მათგანზე.

შეამოწმეთ გეგმა ორივე ბოლოში

დაადასტურეთ, რომ პრეფიქსი ჩნდება იქ, სადაც ფიქრობთ, და შემდეგ დაადასტურეთ, რომ დანიშნულება ნამდვილად მისაწვდომია მისი მეშვეობით.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

მისამართების სია აჩვენებს, რომელ ინტერფეისს აქვს რომელი ქვექსელი, და არასწორის მიმღები კლიენტი ჩვეულებრივ აქ აჩვენებს ამას. მარშრუტების სია აჩვენებს, აქვს თუ არა დისტანციურ პრეფიქსს გზა გვირაბის გავლით, ნაცვლად გადაგდებისა. ტესტი პასუხობს ერთადერთ მნიშვნელოვან კითხვას: აკეთებს თუ არა პაკეტი ორმხრივ მოგზაურობას.

გაიმეორეთ შემოწმება ხელახალი დაკავშირების შემდეგ, რადგან კლიენტი, რომელიც ინარჩუნებს მისამართს, მაგრამ კარგავს მარშრუტს, ქმნის კავშირს, რომელიც ზემოთ ჩანს და არაფერს გადასცემს. მისამართი ადვილი ნაწილია და მარშრუტია ის, რაც ქრება. შეინახეთ ორივე შედეგი კავშირის პროფილის სახელის გვერდით, რათა შემდეგი შედარება მტკიცებულებით დაიწყოს.