IPv6 프라이버시 주소인가 RDP 허용 목록인가: 그 절충을 고르십시오

원격 데스크톱 접속은 한 달 동안 잘 작동하다가, 그다음 허용 목록이 누구도 볼 수 없는 이유로 더 이상 일치하지 않았다. 호스트는 이동하지 않았고 방화벽에서도 아무것도 편집되지 않았다. Windows는 무작위 인터페이스 식별자로 IPv6 임시 주소를 계속 만들고 폐기하므로, 서버가 어느 날 보는 출발지 주소는 아무도 규칙에 적지 않은 주소일 수 있다. 그 동작을 끄면 일치는 고쳐지지만 동시에 호스트가 오래 살아남는 식별자가 된다. 후반부를 받아들이기 전에 대안을 따져 보라.

규칙이 일치를 멈춘 이유

RFC 4941이 설명하는 임시 주소에서는 호스트가 무작위화된 식별자로 추가 주소를 만들고 폐기하므로, 관찰자는 한 호스트를 방문들 사이에서 연관 짓지 못한다. Windows는 그 동작을 구현하므로 어제의 출발지 주소가 반드시 오늘의 주소는 아니다. 예측 가능한 주소는 여전히 인터페이스에 있지만, 나가는 연결이 선호하는 주소는 그것이 아니다.

그래서 고장은 전면적이 아니라 간헐적으로 보인다. 주소가 만들어진 뒤 한동안은 규칙이 일치하고, 주소가 폐기되면 일치를 멈추며, 누군가 규칙을 편집하면 다시 일치하기 시작한다. 출발지 주소로 묶은 모니터링과 호스트 주소를 키로 한 라이선스 확인은 같은 주기로 깨진다. 편집한 직후에는 작동하고 세 주 뒤에 실패하는 규칙은 보통 이것이지 방화벽 재적재가 아니다.

선택지 하나: 안정적인 주소 하나, 줄어든 프라이버시

흔한 수리는 호스트에서 두 회전 메커니즘을 모두 끈다. netsh interface ipv6 set privacy state=disabled store=persistent 그리고 netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent이며, 재시작을 기다리지 않고 변경을 적용하려면 store=active를 추가하고, 이제 식별자를 네트워크를 넘어 예측 가능하게 만들었음을 받아들여야 한다.

그 예측 가능성이 바로 확장 기능이 막기 위해 만들어진 것이다. 호스트를 카페에서 사무실로, 그리고 집까지 따라가는 주소는 편리한 필터 키이자 똑같이 편리한 추적 키이며, 두 번째 속성은 첫 번째를 요청한 티켓보다 오래 산다.

선택지 둘: 접두사나 이름을 허용하기

전체 주소 대신 /64를 허용하면 회전은 그대로 유지되고, 이 기계는 내 집 네트워크에 있다는 더 약하지만 흔히 정직한 주장과 맞아떨어진다. 그 접두사에 받아들이지 않을 호스트가 포함되는 순간 그것으로 충분하지 않게 되며, 소비자 회선에서는 보통 사람들이 생각하는 것보다 작은 집합이다. 동적 DNS로 게시한 이름은 레코드가 호스트를 따라가고 정책이 기기를 추가할 때마다 커지는 범위가 아니라 신원으로 읽히기 때문에 운영하기 더 쉽다.

두 선택지 모두 서버가 신뢰할 수 있는 리졸버와 쉽게 위조되지 않는 이름이 필요하므로, 규칙의 겉모습을 바꾸는 일이 아니라 신원에 관한 정책 결정으로 다루어야 한다. 그 이름에 응답하는 리졸버가 무엇인지 적어 두고, 규칙은 그 뒤의 레코드만큼만 믿을 수 있음을 기억하라.

선택지 셋: 터널이 주소를 할당하게 하기

접속이 당신이 통제하는 VPN을 지난다면 서버는 자기 풀에서 주소를 내줄 수 있고, 허용 목록은 그때 클라이언트가 선호하는 값이 아니라 서버가 고르는 값을 가리킨다. 이는 관리되는 클라이언트에는 잘 맞고 클라이언트가 덮어쓸 수 있는 무엇에도 나쁘게 맞으므로, 배포에서 어느 쪽이 실제로 이기는지 확인해야 한다.

결정을 주소에서 완전히 떼어내기, 즉 클라이언트 인증서나 인증된 게이트웨이로 옮기는 것이, 운영체제가 바꿀 권리가 있는 값에 의존하지 않게 되므로 확장되는 선택지다.

추적 비용을 염두에 두고 고르기

네 가지 선택지를 실제 요구 사항에 대고 적고, 그것들을 조합하는 대신 하나를 고르라. 그래도 프라이버시를 끈다면 필요한 호스트로 범위를 좁히고, 규칙 옆에 이유를 기록하고, 플랫폼이 지원하는 곳에서는 RFC 7217의 안정 프라이버시 주소 지정을 고려하라. 접두사마다 식별자를 유지하면서 하드웨어에서 파생된 식별자를 노출하지 않기 때문이며, 허용 목록이 교체되면 확장 기능을 다시 켜라.

변경을 그것이 뒷받침하는 규칙 옆에 기록하라. 그 메모가 없으면 다음 관리자는 프라이버시 확장이 꺼져 있고 설명도 없는 호스트를 발견하고, 정리하는 동안 그것들을 다시 켜 버린다.