IPv6 құпиялық мекенжайлары немесе RDP рұқсат тізімі: ымыраны таңдаңыз

Қашықтағы жұмыс үстеліне қатынау бір ай жұмыс істеді, содан кейін рұқсат тізімі ешкімге көрінбейтін себеппен сәйкес келуді тоқтатты. Хост орнынан қозғалмаған және firewall-да ештеңе өңделмеген. Windows кездейсоқ интерфейс идентификаторларымен IPv6 уақытша мекенжайларын құруды және оларды кері қайтаруды жалғастырады, сондықтан сервер кез келген күні көретін бастапқы мекенжай ережеге ешкім жазбаған мекенжай болуы мүмкін. Бұл мінез-құлықты өшіру сәйкестікті түзетеді және бір уақытта хостты ұзақ өмір сүретін идентификаторға айналдырады. Екінші жартысын қабылдамас бұрын баламаларды салмақтаңыз.

Ереже неге сәйкес келуді тоқтатты

RFC 4941 уақытша мекенжайларды сипаттайды: хост кездейсоқ идентификаторлармен қосымша мекенжайлар жасайды және оларды кері қайтарады, бұл бақылаушыға бір хостты сапарлар арасында байланыстыруға кедергі келтіреді. Windows бұл мінез-құлықты іске асырады, сондықтан кешегі бастапқы мекенжай бүгінгісі міндетті емес. Болжамды мекенжай интерфейсте әлі де бар; жай ғана ол шығыс қосылысы қалайтын мекенжай емес.

Сондықтан ақау толық емес, үзікті болып көрінеді. Ереже мекенжай жасалғаннан кейін біраз уақыт сәйкес келеді, ол кері қайтарылғанда сәйкес келуді тоқтатады және біреу оны өңдегеннен кейін қайта сәйкес келе бастайды. Бастапқы мекенжай бойынша топтастырылған мониторинг және хост мекенжайына байланған лицензия тексерулері сол кесте бойынша бұзылады. Өңдеуден кейін бірден жұмыс істеп, үш аптадан кейін сәтсіз болатын ереже әдетте осы, ал firewall-ды қайта жүктеу емес.

Бірінші нұсқа: бір тұрақты мекенжай, азырақ құпиялық

Әдеттегі жөндеу хосттағы екі айналдыру механизмін де өшіреді: netsh interface ipv6 set privacy state=disabled store=persistent және netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Қайта жүктеуді күтпей-ақ өзгеріс күшіне енуін қаласаңыз store=active қосыңыз және идентификаторды енді желілер арасында болжамды еткеніңізді қабылдаңыз.

Дәл осы болжамдылықты кеңейтімдер болдырмау үшін жасалған. Хостты кафеден кеңсеге және үйге дейін еріп жүретін мекенжай қолайлы сүзгі кілті және сондай қолайлы бақылау кілті, ал екінші қасиет біріншісін сұраған билеттен ұзақ өмір сүреді.

Екінші нұсқа: префикске немесе атауға рұқсат беру

Толық мекенжайдың орнына /64-ке рұқсат беру айналымды бүтін сақтайды және әлсіз, бірақ жиі адал тұжырымға сай келеді: бұл машина менің үй желімде. Бұл префиксте қабылдамайтын хосттар пайда болған сәтте ол жеткілікті болудан қалады, ал тұтынушылық қосылыста бұл адамдар ойлағаннан кичине жыйынды болот. Динамикалық DNS арқылы жарияланған атауды басқару оңайырақ, өйткені жазба хостты еріп жүреді және саясат құрылғы қосылған сайын өсетін ауқым ретінде емес, сәйкестік ретінде оқылады.

Екі нұсқа да сервер сене алатын шешушіге және оңай жалған жасалмайтын атауға мұқтаж, сондықтан оларды ереженің косметикалық өзгерісі емес, сәйкестік туралы саяси шешім ретінде қарастырыңыз. Сол атауға қай шешуші жауап беретінін жазып қойыңыз, өйткені ереже артындағы жазба қаншалықты сенімді болса, соншалықты сенімді.

Үшінші нұсқа: туннель мекенжайды тағайындасын

Егер қосылыс өзіңіз басқаратын VPN арқылы өтсе, сервер мекенжайды өз пулынан бере алады, сонда рұқсат тізімі клиент қалайтын емес, сервер таңдаған мәнге сілтеме жасайды. Бұл басқарылатын клиенттер үшін жақсы, ал клиент айналып өте алатын кез келген нәрсе үшін нашар жұмыс істейді, сондықтан орналастыруыңызда қай жақ шын мәнінде жеңетінін тексеріңіз.

Шешімді мекенжайдан толық алыстату, клиент сертификатына немесе аутентификацияланған шлюзге көшу — бұл масштабталатын нұсқа, өйткені ол операциялық жүйенің өзгертуге құқығы бар мәнге тәуелді болуды тоқтатады.

Бақылау құнын ескере отырып таңдаңыз

Төрт нұсқаны нақты талапқа қарсы жазып шығыңыз және оларды біріктірудің орнына біреуін таңдаңыз. Егер құпиялықты бәрібір өшірсеңіз, оны қажет ететін хостпен шектеңіз, себебін ереженің жанына құжаттаңыз және платформа қолдайтын жерде RFC 7217-нің тұрақты-жеке мекенжайлауын қарастырыңыз, өйткені ол аппараттан алынған идентификаторды ашпай-ақ әр префикс үшін идентификатор сақтайды. Рұқсат тізімі ауыстырылғанда кеңейтімдерді қайта қосыңыз.

Өзгерісті ол қолдайтын ереженің жанына жазып қойыңыз. Бұл жазбасыз келесі әкімші құпиялық кеңейтімдері өшірілген және ешбір түсініктемесіз хост тауып, тазалау кезінде оларды қайта қосады.