IPv6 주소는 VPN을 대신하지 않는다: 원래 하던 일을 따라가 보라

클라이언트의 상태 페이지를 열고 글로벌 IPv6 주소를 보면, 터널이 이제 선택 사항이 되었다고 결론 내리고 싶어진다. 그 페이지는 주소를 보여 줄 뿐, 암호화 경계도, 사설 라우팅 테이블도, 접근 결정도 아니다. VPN은 보통 세 가지 일을 동시에 맡고, IPv6는 희소한 주소를 나누는 일에만 닿는다. 하나의 서비스를 클라이언트에서 리스너까지 따라가는 것만이 변화 후 어떤 일이 살아남는지 보는 유일한 방법이다.

도구를 걷어내기 전에 그 일을 이름 붙여라

사람들은 세 가지 배치 중 하나를 뜻할 때 «VPN»이라고 말하고, 셋은 각기 다른 이유로 실패한다. 한 팀이 공개한 한 애플리케이션에 도달하는 것은 애플리케이션 접근 문제다. 여러 사이트가 서로 도달하도록 정의된 사설 네트워크 집합에 가입하는 것은 라우팅 관계다. 완전히 통제하지 못하는 인프라 위에 안정적인 관리 오버레이를 유지하는 것은 자체 주소 계획을 가진 운영 배치다.

IPv6는 첫 번째 배치에서 주소 공유 장애물을 없애고 직접 주소가 변환기를 대체할 수 있으므로 거기서 실제 일을 한다. 나머지 둘에는 아무것도 바꾸지 않는다. 요구 사항은 애초에 주소 부족이 아니었기 때문이다. 구성을 건드리기 전에 셋 중 무엇을 실제로 운영 중인지 적어 두라.

공용 주소는 암호화가 아니다

전역 범위 주소는 호스트에 어디서 도달할 수 있는지 알려 주지만, 그곳에 도착하는 트래픽이 암호화되었는지 인증되었는지는 아무 말도 하지 않는다. RFC 8504의 보안 논의는 IPsec 구현 지원을 IPsec, TLS, SSH 및 다른 접근 방식 사이의 더 넓은 선택과 구분하는데, 그것이 바로 도달 가능성을 보호로 읽을 때 사라지는 구분이다. 어떤 메커니즘을 지원하는 스택은 그 메커니즘이 사용 가능하다는 것만 증명했고, 이 흐름이 그것을 지나갔다는 것은 결코 증명하지 않았다. 특히 IPsec의 경우, 협상된 연관과 그것이 선택하는 트래픽이 무엇이 보호되는지를 결정하며, 주소 패밀리는 패킷의 속성이지 그에 대한 정책이 아니다.

도달 가능성은 다시 별개의 질문이다. 공용 주소는 요청되지 않은 트래픽이 도착하게 하지 않는다. 경로, 방화벽, 리스너가 각각 한 표를 가지고, NAT를 없애는 것은 필터 하나를 없애는 것이지 전부를 없애는 것이 아니기 때문이다. 터널이 그 셋 중 무엇을 대신하고 있었는지, 있다면 정하라.

오버레이가 여전히 제공하는 것

오버레이는 세 가지 상황에서 여전히 제자리를 얻는다. 원격 사용자는 하나의 애플리케이션이 아니라 특정 경로 집합을 필요로 할 수 있고, 두 사이트는 사설 도달 가능성 합의를 필요로 할 수 있으며, 운영자는 접속 제공자가 바뀌어도 바뀌지 않는 주소 지정을 원할 수 있다. 셋 중 어느 것도 IPv4 주소 부족에 관한 것이 아니다.

글로벌 주소가 그것을 유지 보수 없이 만들지는 않는다. 잘 정돈된 내부 계획은 제공자가 외부 엔드포인트를 바꾼 뒤에도 그것이 응답하게 유지하지 않는다. 인증, 재연결, 이름 갱신에는 여전히 담당자가 필요하다. 무엇이든 끄기 전에 그것들이 어떻게 복구되는지 정하라.

공용이 되는 서비스를 따라가라

호스트에서 시작해 실제로 무엇이 듣고 있는지 나열하라. 승인한 애플리케이션이 머신 위의 유일한 것인 경우는 드물기 때문이다. ss -lntup는 모든 TCP 및 UDP 리스너를 바인드 주소와 함께 출력하고 권한이 허락하는 곳에서는 소유 프로세스를 덧붙여, 관리 인터페이스가 와일드카드 주소에 있는지 아니면 loopback에만 있는지 한눈에 보여 준다. 스택이 IPv6 소켓을 따로 유지한다면 ss -6 -lntup로 반복하라.

그다음 각 줄을 대상에 따라 분류하라. 자체 인증과 전송 보안을 갖춘 애플리케이션 포트는 공용 주소에 있어도 괜찮을 수 있지만, 관리 인터페이스, 메트릭 엔드포인트, 데이터베이스 포트는 대개 그렇지 않다. 승인된 애플리케이션 하나는 그 애플리케이션에 대한 판단일 뿐, 호스트를 공유하는 모든 서비스를 노출해도 된다는 허가가 결코 아니다. 각 줄의 바인드 주소는 노출이 이미 있는지, 아니면 계획 중인 변경이 만들 것인지 알려 준다.

두 가지 테스트, 그다음 무엇을 끌지 정하라

계층을 걷어내기 전에 종이 위에서 두 질문에 답하라. 첫째, 그 요구 사항에 사설 라우팅이 필요한가, 즉 공용 주소가 함의하지 않고 접속 제공자가 제공하지 않는 도달 가능성인가? 둘째, 보호 경계가 필요한가, 즉 그렇지 않으면 신뢰할 수 없는 경로를 평문으로 건널 흐름에 대한 암호화와 인증인가? 그 서비스에 대해 두 답이 모두 아니오라면 터널은 제거 후보이고, 어느 하나라도 예라면 남는다.

IPv4와 IPv6에 대해 각각 따로 듀얼 스택 클라이언트에서 같은 테스트를 실행하라. 보호된 IPv4 트래픽은 IPv6 경로에 대해 아무것도 말해 주지 않기 때문이다. 상태 페이지의 글로벌 IPv6 주소는 유출의 증거가 아니고, 그것이 없다는 것도 보호의 증거가 아니다. 두 답이 적혀 있고 여전히 아니오인 서비스만 끄고, 어느 질문이 그것을 결정했는지 변경 기록에 적어라.