VPN ішіндегі IPv6 ULA: жеке мекенжайлау, ал құпиялылық емес

Жеке болып көрінетін мекенжайлар көпшілік айтатын мағынада жеке емес, және IPv6-ның бірегей-жергілікті мекенжайлауы оның ең айқын мысалы. ULA префиксі VPN-ке оның артындағы ресурстар үшін тұрақты ішкі жоспар береді. Ол ештеңені шифрламайды, серіктесті аутентификацияламайды және клиент қандай қызметтерге қол жеткізе алатынын шешпейді. Префиксті қауіпсіздік бақылауы ретінде қарау — осы мақала жоюға тиіс қате.

Префикс шын мәнінде не береді

RFC 4193 fc00::/7-ді жергілікті пайдалану үшін бөледі, ал L биті жергілікті тағайындалған кеңістікті резервтелген пішіннен ажыратады. Іс жүзінде бұл сіз жасайтын нәрсе fd00::/8 дегенді білдіреді. Спецификация сонымен қатар 40 биттік ғаламдық ID қалай шығарылуы керектігін анықтайды, сондықтан тәуелсіз сайттар кездейсоқ бір префиксті таңдамайды. Бұл кеңістік қоғамдық интернеттен тыс қалуға арналған, бұл маршруттау қасиеті, қорғаныс емес.

Сайт ішінде әдеттегі орналасу — қосалқы желілерге бөлінген /48 ғаламдық ID: біреуі туннель клиенттері үшін, біреуі сервер жағы үшін және әр қашықтағы LAN үшін біреу. Бұл құрылым — бүкіл пайда, және бұл мекенжайлау пайдасы. Әрбір пакет әлі де маршрутты қажет етеді және оған рұқсат беретін саясатты қажет етеді.

Префиксті туннельмен шатастыру — дизайн fd00 мекенжайларын құжаттап, олардың арасындағы трафик қорғалған деп болжайтын жол. Басқа бірдеңе қорғамаса, олай емес.

Мысалдағы префиксті көшіру неге ауыртады

Әр оқулық есте қаларлық префиксті пайдаланады, ал оны көшірген әр оқырман сол қақтығыс тәуекелін мұра етеді. Кейін бірдей ауқымдармен сайт-сайт туннелі арқылы қосылатын екі сайт қабаттасатын жеке IPv4 кеңістігінен белгілі дәл сол екіұштылықты тудырады. Ешбір тарап өздігінен қате емес, ал біріктірілген желі қай тағайындау нүктесі меңзелгенін білудің жолы жоқ.

Ғаламдық ID-ді құжатталған процесс бойынша жасау бір минут алады және сұрақты жояды. Мекенжай жоспарының жанына префиксті, жасау кірісін және күнді жазып қойыңыз.

Тәуекел сатып алудан кейін желілерді біріктіретін немесе VPN арқылы екі зертхананы қосатын адам үшін теориялық емес. Ол бір сайт үшін де шұғыл емес, сондықтан біріктіру жоспарланғанға дейін кейінге қалдырылады.

Ауқым мен қатынау — бөлек сұрақтар

ULA қарапайым ғаламдық маршрутталатын интернет мекенжайлауына арналмаған. Бұл оны пайдаланатын әрбір хостты сенімді етпейді және бұл хосттарды басқа қосылған жеке желілерден қолжетімсіз етпейді. Firewall мен қолданба рұқсаттары әлі де серіктестің нені пайдалана алатынын шешеді, ал туннель әлі де конфигурацияланған аутентификацияны ұсынады.

Интернет шығысы өзінің жеке IPv6 шығыс дизайнын қажет етеді. Клиентке ULA мекенжайын тағайындау еркін ғаламдық межелерге қатынауды тудырмайды, ал оны алған клиенттен ол арқылы қоғамдық интернетті шолуды күтуге болмайды.

Әр түрлі префикстері бар екі сайт әлі де бір-бірінің ауқымдары үшін қайтару маршруттарын қажет етеді, ал екі firewall да сәйкес ережелерді қажет етеді. Осының ешқайсысы мекенжайлар отбасынан туындамайды. Туындайтыны — құжаттау жұмысы: префикстер кестесі және әрқайсысына жауап беруге рұқсат етілген жүйелер.

Жоспарды екі ұшында да тексеріңіз

Префикстің өзіңіз ойлаған жерде пайда болғанын растаңыз, содан кейін тағайындау нүктесінің шынымен ол арқылы қолжетімді екенін растаңыз.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Мекенжайлар тізімі қай интерфейсте қай қосалқы желі бар екенін көрсетеді, ал дұрыс емес мекенжайды алған клиент мұны әдетте осында көрсетеді. Маршруттар тізімі қашықтағы префикстің туннель арқылы жолы бар-жоғын, әлде ол тасталатынын көрсетеді. Сынақ маңызды жалғыз сұраққа жауап береді: пакет барып-қайта ма.

Қайта қосылғаннан кейін тексеруді қайталаңыз, өйткені мекенжайын сақтап, маршрутын жоғалтқан клиент жоғарыда тұрғандай көрінетін және ештеңе жібермейтін қосылым жасайды. Мекенжай — жеңіл бөлігі, ал маршрут — жоғалатын нәрсе. Келесі салыстыру дәлелден басталсын деп, екі шығысты да қосылым профилінің атауының жанына сақтаңыз.