IPv6 adresai nepakeičia jūsų VPN: pereikite pirminį darbą

Atidarykite kliento būsenos puslapį, pamatykite globalų IPv6 adresą, ir kyla pagunda padaryti išvadą, kad tunelis tapo nebūtinas. Tas puslapis rodo adresą, ne šifravimo ribą, ne privatų maršrutizavimo lentelę ir ne prieigos sprendimą. VPN paprastai vienu metu atlieka tris darbus, o IPv6 liečia tik tą, kuris susijęs su retų adresų dalijimu. Vienos paslaugos perėjimas nuo kliento iki klausytojo yra vienintelis būdas pamatyti, kuris darbas išlieka po pokyčio.

Įvardykite darbą prieš pašalindami įrankį

Žmonės sako „VPN“, kai turi omenyje vieną iš trijų išdėstymų, ir visi trys žlunga dėl skirtingų priežasčių. Pasiekti vieną programą, kurią paskelbė viena komanda, yra programos prieigos problema. Prisijungti prie apibrėžto privačių tinklų rinkinio, kad keli objektai pasiektų vienas kitą, yra maršrutizavimo santykis. Išlaikyti stabilų administracinį sluoksnį virš infrastruktūros, kurios nevaldote visiškai, yra operacinis išdėstymas su savo adresų planu.

IPv6 pašalina adresų dalijimosi kliūtį pirmajam išdėstymui, ir ten jis atlieka tikrą darbą, nes tiesioginis adresas gali pakeisti vertėją. Kitiems dviem jis nieko nekeičia, nes reikalavimas niekada nebuvo adresų trūkumas. Užrašykite, kurį iš trijų iš tikrųjų valdote, prieš liesdami konfigūraciją.

Viešas adresas nėra šifravimas

Globalaus diapazono adresas pasako, iš kur hostas pasiekiamas; jis nieko nesako apie tai, ar ten atvykstantis srautas yra užšifruotas ar autentifikuotas. RFC 8504 saugumo aptarimas atskiria IPsec diegimo palaikymą nuo platesnio pasirinkimo tarp IPsec, TLS, SSH ir kitų metodų, ir būtent tas skirtumas išnyksta, kai pasiekiamumas skaitomas kaip apsauga. Stackas, palaikantis mechanizmą, įrodė tik tai, kad mechanizmas yra prieinamas, bet niekada, kad šis srautas per jį praėjo. Konkrečiai IPsec atveju suderinta asociacija ir jos pasirinktas srautas nusprendžia, kas apsaugota, o adresų šeima yra paketo savybė, o ne politika jam.

Pasiekiamumas vėl yra atskiras klausimas. Viešas adresas nepriverčia atvykti neprašyto srauto, nes maršrutas, užkarda ir klausytojas kiekvienas turi po balsą, o NAT pašalinimas pašalina vieną filtrą, o ne visus. Nuspręskite, kurį iš tų trijų tunelis pakeitė, jei apskritai.

Ką perdanga dar teikia

Perdanga vis dar užsitarnauja savo vietą trimis atvejais. Nuotoliniams naudotojams gali reikėti konkretaus maršrutų rinkinio, o ne vienos programos, dviem objektams gali reikėti privataus pasiekiamumo susitarimo, o operatoriai gali norėti adresavimo, kuris nesikeičia, kai keičiasi prieigos teikėjas. Nė vienas iš trijų nėra apie IPv4 adresų trūkumą.

Globalūs adresai nepadaro to nereikalaujančiu priežiūros. Tvarkingas vidinis planas neišlaiko išorinio galinio taško atsakančio po to, kai teikėjas jį pakeičia, o autentifikavimui, prisijungimui iš naujo ir vardų atnaujinimams vis dar reikia savininko. Nuspręskite, kaip tie atsistatys, prieš ką nors išjungdami.

Pereikite paslaugą, kuri tampa vieša

Pradėkite nuo hosto ir išvardykite, kas iš tikrųjų klausosi, nes jūsų patvirtinta programa retai būna vienintelis dalykas įrenginyje. ss -lntup spausdina kiekvieną TCP ir UDP klausytoją su jo susiejimo adresu ir prideda savininko procesą ten, kur jūsų privilegijos leidžia, o tai vienu žvilgsniu parodo, ar administravimo sąsaja yra pakaitiniame adrese, ar tik loopback. Pakartokite kaip ss -6 -lntup, jei jūsų stackas laiko IPv6 lizdus atskirai.

Tada klasifikuokite kiekvieną eilutę pagal auditoriją. Programos prievadas, turintis savo autentifikavimą ir transporto saugumą, gali būti tinkamas viešame adrese, o administravimo sąsaja, metrikos galinis taškas ir duomenų bazės prievadas paprastai ne. Viena patvirtinta programa yra sprendimas tik apie tą programą, niekada leidimas atskleisti kiekvieną paslaugą, kuri dalijasi hostu. Susiejimo adresas kiekvienoje eilutėje pasako, ar atskleidimas jau egzistuoja, ar jį sukurtų jūsų planuojamas pokytis.

Du testai, tada nuspręskite, ką išjungti

Prieš pašalindami sluoksnį, atsakykite į du klausimus ant popieriaus. Pirma, ar reikalavimui reikia privataus maršrutizavimo, tai yra pasiekiamumo, kurio viešas adresas neimplikuoja ir prieigos teikėjas nesiūlo? Antra, ar jam reikia apsaugos ribos, tai yra šifravimo ir autentifikavimo srautui, kuris kitaip kirstų nepatikimą kelią atvirai? Jei abu atsakymai yra ne tai paslaugai, tunelis yra šalinimo kandidatas; jei bent vienas yra taip, jis lieka.

Paleiskite tą patį testą IPv4 ir IPv6 atskirai dvigubo stacko kliente, nes apsaugotas IPv4 srautas nieko nesako apie IPv6 kelią. Globalus IPv6 adresas būsenos puslapyje nėra nuotėkio įrodymas, o jo nebuvimas nėra apsaugos įrodymas. Išjunkite tik tas paslaugas, kurioms abu atsakymai buvo užrašyti ir vis dar yra ne, ir pakeitimų žurnale pažymėkite, kuris klausimas tai nulėmė.