IPv6 купуялуулук даректери же RDP уруксат тизмеси: компромиссти тандаңыз

Алыскы иш столуна кирүү бир ай иштеди, анан уруксат тизмеси эч кимге көрүнбөгөн себептен дал келүүнү токтотту. Хост ордунан козголгон жок жана firewall-да эч нерсе өзгөртүлгөн жок. Windows туш келди интерфейс идентификаторлору менен IPv6 убактылуу даректерин түзүүнү жана аларды артка кайтарууну улантат, ошондуктан сервер каалаган күнү көргөн булак дареги эч ким эрежеге жазбаган дарек болушу мүмкүн. Бул жүрүм-турумду өчүрүү дал келүүнү оңдойт жана ошол эле учурда хостту узак жашаган идентификаторго айландырат. Экинчи жарымын кабыл алардан мурун альтернативаларды таразалаңыз.

Эреже эмне үчүн дал келүүнү токтотту

RFC 4941 убактылуу даректерди сүрөттөйт: хост туш келди идентификаторлор менен кошумча даректерди түзөт жана аларды артка кайтарат, бул байкоочуга бир хостту баруулардын ортосунда байланыштырууга тоскоол болот. Windows бул жүрүм-турумду ишке ашырат, ошондуктан кечээки булак дареги бүгүнкүсү болушу милдеттүү эмес. Болжолдуу дарек интерфейсте дагы эле бар; жөн гана ал чыгуучу байланыш артык көргөн дарек эмес.

Ошондуктан бузулуу толук эмес, үзгүлтүктүү көрүнөт. Эреже дарек түзүлгөндөн кийин бир аз убакыт дал келет, ал артка кайтарылганда дал келүүнү токтотот жана бирөө аны оңдогондон кийин кайра дал келе баштайт. Булак дареги боюнча топтолгон мониторинг жана хост дарегине байланган лицензия текшерүүлөрү ошол эле график боюнча бузулат. Оңдолгондон кийин дароо иштеп, үч жумадан кийин ишке орду толбогон эреже адатта ушул, firewallды кайра жүктөө эмес.

Биринчи вариант: бир туруктуу дарек, азыраак купуялуулук

Кадимки оңдоо хосттогу эки айландыруу механизмин тең өчүрөт: netsh interface ipv6 set privacy state=disabled store=persistent жана netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Кайра жүктөөнү күтпөстөн өзгөртүү күчүнө киришин кааласаңыз store=active кошуңуз жана идентификаторду эми тармактар арасында болжолдуу кылганыңызды кабыл алыңыз.

Дал ушул болжолдуулукту кеңейтүүлөр алдын алуу үчүн курулган. Хостту кафеден кеңсеге жана үйгө ээрчиген дарек ыңгайлуу фильтр ачкычы жана ошондой эле ыңгайлуу көзөмөл ачкычы, ал эми экинчи касиет биринчисин сураган билеттен узак жашайт.

Экинчи вариант: префикске же атка уруксат берүү

Толук даректин ордуна /64кө уруксат берүү айланууну бүтүн сактайт жана алсызыраак, бирок көбүнчө чынчыл билдирүүгө туура келет: бул машина менин үй тармагымда. Бул префиксте кабыл албаган хосттор пайда болгон учурда ал жетиштүү болууну токтотот, ал эми керектөөчү байланышта бул адамдар ойлогондон кичине жыйынды болот. Динамикалык DNS аркылуу жарыяланган атты башкаруу оңоюраак, анткени жазуу хостту ээрчийт жана саясат түзмөк кошулган сайын өскөн диапазон катары эмес, инсандык катары окулат.

Эки вариант тең сервер ишене алган чечүүчүгө жана оңой жасалмаланбаган атка муктаж, ошондуктан аларды эреженин косметикалык өзгөрүүсү эмес, инсандык тууралуу саясий чечим катары караңыз. Ошол атка кайсы чечүүчү жооп берерин жазып коюңуз, анткени эреже артындагы жазуу канчалык ишенимдүү болсо, ошончолук ишенимдүү.

Үчүнчү вариант: туннель даректи дайындасын

Эгер байланыш өзүңүз көзөмөлдөгөн VPN аркылуу өтсө, сервер даректи өз бассейнинен бере алат, ошондо уруксат тизмеси кардар артык көргөн эмес, сервер тандаган мааниге шилтеме жасайт. Бул башкарылуучу кардарлар үчүн жакшы иштейт, ал эми кардар айланып өтө алган нерселер үчүн начар, ошондуктан жайгаштырууңузда кайсы тарап чындыгында жеңерин текшериңиз.

Чечимди даректен толук алыстоо, кардар сертификатына же аутентификацияланган шлюзга өткөрүү — бул масштабдалган вариант, анткени ал операциялык система өзгөртүүгө укуктуу болгон мааниге көз каранды болууну токтотот.

Көзөмөлдөө баасын эске алып тандаңыз

Төрт вариантты чыныгы талапка каршы жазып чыгыңыз жана аларды айкалыштыруунун ордуна бирөөнү тандаңыз. Эгер купуялуулукту баары бир өчүрсөңүз, аны муктаж болгон хост менен чектеңиз, себебин эреженин жанына документтештириңиз жана платформа колдогон жерде RFC 7217нин туруктуу-жеке даректөөсүн карап көрүңүз, анткени ал аппараттан алынган идентификаторду ачпастан ар бир префикс үчүн идентификаторду сактайт. Уруксат тизмеси алмаштырылганда кеңейтүүлөрдү кайра күйгүзүңүз.

Өзгөртүүнү ал колдогон эреженин жанына жазып коюңуз. Бул эскертүүсүз кийинки администратор купуялуулук кеңейтүүлөрү өчүк жана эч кандай түшүндүрмөсүз хостту таап, тазалоо учурунда аларды кайра күйгүзөт.