IPv6 ULA an engem VPN: privat Adresséierung, net Privatsphär

Adressen déi privat ausgesinn sinn net privat an deem Sënn deen déi meescht Leit mierken, an d'eendeiteg lokal Adresséierung vun IPv6 ass de kloresten Fall. En ULA-Prefix gëtt engem VPN e stabile bannenzege Plang fir d'Ressourcen hannert him. En verschlësselt näischt, authentifizéiert keen Peer an entscheet net wéi eng Servicer e Client erreeche kann. De Prefix als Sécherheetskontrolle ze behandelen ass de Feeler deen dësen Artikel ewechhuele wëll.

Wat de Prefix tatsächlech bitt

RFC 4193 reservéiert fc00::/7 fir lokal Notzung, woubäi d'L-Bit lokal zougewiesene Raum vun der reservéierter Form ënnerscheet. An der Praxis heescht dat datt Dir fd00::/8 generéiert. D'Spezifikatioun definéiert och wéi déi 40-Bit global ID ofgeleet soll ginn, sou datt onofhängeg Siten net zoufälleg deeselwechte Prefix wielen. Dee Raum ass entworf fir baussent dem ëffentlechen Internet ze bleiwen, wat eng Routing-Eegeschaft ass an net eng Protektioun.

Bannent engem Site ass déi üblech Opdeelung eng /48 global ID déi an Subnetzer opgedeelt ass: eng fir Tunnel-Cliente, eng fir d'Serversäit an eng fir all entfernte LAN. Dee Struktur ass de ganzen Avantage, an et ass en Adresséierungsavantatge. All Paket brauch nach ëmmer eng Route an och nach ëmmer eng Politik déi et erlaabt.

De Prefix mat engem Tunnel ze verwiesselen ass de Wee wéi en Design um Enn fd00-Adressen dokumentéiert an unhëlt datt den Trafic tëscht hinnen geschützt ass. Et ass net, ausser eppes anescht mécht de Schutz.

Firwat d'Kopéiere vum Beispillprefix wéi deet

All Tutorial benotzt e merkbare Prefix, an all Lieser deen en kopéiert ierft deeselwechte Kollisiounsrisiko. Zwee Siten déi méi spéit iwwer en Site-zu-Site-Tunnel mat identesche Beräicher verbonne ginn, produzéieren genee déi Ambiguitéit déi aus iwwerlappende private IPv4-Raim bekannt ass. Keng Säit ass fir sech falsch, an dat kombinéiert Netzwierk huet keng Méiglechkeet ze wëssen wéi en Zil gemengt ass.

Déi global ID no dem dokumentéierte Prozess ze generéieren hëlt eng Minutt an eliminéiert d'Fro. Notéiert de Prefix, d'Input vun der Generatioun an den Datum nieft dem Adressplang.

De Risiko ass net theoreetesch fir jiddereen deen no enger Iwwernahm Netzwierker fusionéiert oder zwee Labore iwwer e VPN verbënnt. Et ass och net dréngend fir een eenzege Site, dofir gëtt et opgesat bis d'Fusioun scho geplangt ass.

Ambit an Zougrëff si getrennt Froen

ULA ass net geduecht fir déi gewéinlech global gerouteten Internetadresséierung. Dat mécht net all Host deen en benotzt vertrauenswürdeg, an et mécht déi Hosten net onereechbar vun aneren ugeschlossene private Netzwierker. Firewalle an Applikatiounsberechtegungen entscheeden nach ëmmer wat e Peer benotze darf, an den Tunnel liwwert nach ëmmer déi Authentifikatioun mat där en konfiguréiert gouf.

En Internetausgang brauch säin eegene IPv6-Egress-Design. Engem Client eng ULA-Adress zouzekommeschléisst keen Zougrëff op arbiträr global Ziler, an et soll net erwaart ginn datt e Client deen eng kritt iwwer si am ëffentlechen Internet surft.

Zwee Siten mat ënnerschiddleche Prefixen brauchen nach ëmmer Retourrouten fir déi aner hir Beräicher, an déi zwou Firewalle brauchen passend Regel. Näischt dovunner kënnt aus der Adressfamill. Wat kënnt ass Dokumentatiounsaarbecht: eng Tabell vun de Prefixen an de Systemer deenen et erlaabt ass op jiddereng vun hinnen ze äntweren.

Préift de Plang op béide Enden

Bestätegt datt de Prefix do erschéngt wou Dir mengt, an da bestätegt datt en Zil wierklech iwwer en erreechbar ass.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

D'Adresslëscht weist wéi eng Interface wéi ee Subnet huet, an e Client deen de falschen kritt huet weist dat normalerweis hei. D'Routelëscht weist ob de entfernte Prefix e Wee duerch den Tunnel huet amplaz verkaaft ze ginn. Den Test beäntwert déi eenzeg wichteg Fro: ob e Paket den Hiw- an Hierwee packt.

Widderhëlt d'Préifung no enger Neiverbindung, well e Client deen seng Adress behält awer d'Route verléiert eng Verbindung produzéiert déi uewen ausgesäit an näischt weiderleet. D'Adress ass den einfachen Deel, an d'Route ass dat wat verschwënnt. Späichert béid Ausgaben nieft dem Numm vum Verbindungsprofil, sou datt deen nächsten Verglach mat Beweiser ufänkt.