IPv6 privatumo adresai arba RDP leidžiamųjų sąrašas: pasirinkite kompromisą

Nuotolinio darbalaukio prieiga veikė mėnesį, o paskui leidžiamųjų sąrašas nustojo sutapti be jokios matomos priežasties. Kompiuteris nebuvo perkeltas ir ugniasienėje nieko nebuvo redaguota. Windows toliau kuria laikinuosius IPv6 adresus su atsitiktiniais sąsajos identifikatoriais ir jų atsisako, todėl šaltinio adresas, kurį serveris mato bet kurią dieną, gali būti toks, kurio niekas neįrašė į taisyklę. Išjungus šią elgseną sutapimas sutvarkomas ir kartu kompiuteris paverčiamas ilgaamžiu identifikatoriumi. Pasverkite alternatyvas prieš priimdami antrąją pusę.

Kodėl taisyklė nustojo sutapti

RFC 4941 aprašo laikinuosius adresus: kompiuteris sukuria papildomus adresus su atsitiktiniais identifikatoriais ir jų atsisako, o tai neleidžia stebėtojui susieti vieno kompiuterio tarp apsilankymų. Windows įgyvendina šią elgseną, todėl vakar dienos šaltinio adresas nebūtinai yra šiandienos. Numatomasis adresas vis dar egzistuoja sąsajoje; tiesiog tai ne tas, kuriam teikia pirmenybę išeinantis ryšys.

Štai kodėl gedimas atrodo protarpinis, o ne visiškas. Taisyklė sutampa kurį laiką po adreso sukūrimo, nustoja sutapti jam atsisakius ir vėl pradeda sutapti, kai kas nors jį paredaguoja. Stebėjimas, sugrupuotas pagal šaltinio adresą, ir licencijų patikros, susietos su kompiuterio adresu, lūžta pagal tą patį grafiką. Taisyklė, kuri veikia iškart po redagavimo ir sugenda po trijų savaičių, paprastai yra tai, o ne ugniasienės perkrovimas.

Pirmas variantas: vienas stabilus adresas, mažiau privatumo

Įprastas taisymas išjungia abu sukimosi mechanizmus kompiuteryje: netsh interface ipv6 set privacy state=disabled store=persistent ir netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Pridėkite store=active, jei norite, kad pakeitimas įsigaliotų nelaukiant perkrovimo, ir pripažinkite, kad dabar identifikatorių padarėte nuspėjamą tinkluose.

Būtent šio nuspėjamumo buvo sukurta išvengti plėtiniais. Adresas, kuris seka kompiuterį iš kavinės į biurą ir namus, yra patogus filtravimo raktas ir toks pat patogus sekimo raktas, o antroji savybė pergyvena bilietą, kuris prašė pirmosios.

Antras variantas: leisti priešdėlį arba vardą

Leidus /64, o ne visą adresą, sukimasis išlieka nepažeistas ir atitinka silpnesnį, bet dažnai sąžiningą teiginį: šis kompiuteris yra mano namų tinkle. Tai nustoja pakti tą akimirką, kai tame priešdėlyje atsiranda kompiuterių, kurių neįsileistumėte, o vartotojo ryšyje tai paprastai mažesnė aibė, nei žmonės mano. Vardas, paskelbtas per dinaminį DNS, yra lengviau valdomas, nes įrašas seka kompiuterį, o politika skaitoma kaip tapatybė, o ne kaip diapazonas, kuris auga kiekvieną kartą pridėjus įrenginį.

Abu variantai reikalauja resolverio, kuriuo serveris gali pasitikėti, ir vardo, kurio negalima lengvai suklastoti, todėl traktuokite juos kaip politinį sprendimą dėl tapatybės, o ne kaip kosmetinį taisyklės pakeitimą. Užrašykite, kuris resolveris atsako į tą vardą, nes taisyklė yra tokia patikima, kokia yra už jos esantis įrašas.

Trečias variantas: leiskite tuneliui priskirti adresą

Jei ryšys eina per jūsų valdomą VPN, serveris gali išduoti adresą iš savo baseino, ir leidžiamųjų sąrašas tada nurodo vertę, kurią renkasi serveris, o ne tą, kuriai teikia pirmenybę klientas. Tai gerai veikia valdomiems klientams ir blogai viskam, ką klientas gali apeiti, todėl patikrinkite, kuri pusė iš tikrųjų laimi jūsų diegime.

Perkelti sprendimą visiškai nuo adreso, į kliento sertifikatą ar autentifikuotą tinklų sietuvą, yra variantas, kuris plečiasi, nes nustoja priklausyti nuo vertės, kurią operacinė sistema turi teisę pakeisti.

Rinkitės atsižvelgdami į sekimo kainą

Užrašykite keturis variantus prieš tikrąjį reikalavimą ir pasirinkite vieną, o ne juos derinkite. Jei vis tiek išjungiate privatumą, apribokite jį kompiuteriu, kuriam jo reikia, dokumentuokite priežastį šalia taisyklės ir apsvarstykite stabilų privatų adresavimą pagal RFC 7217 ten, kur platforma jį palaiko, nes jis išlaiko identifikatorių kiekvienam priešdėliui, neatskleisdamas iš aparatinės įrangos gauto. Kai leidžiamųjų sąrašas bus pakeistas, vėl įjunkite plėtinius.

Užregistruokite pakeitimą šalia taisyklės, kurią jis palaiko. Be tos pastabos kitas administratorius ras kompiuterį su išjungtais privatumo plėtiniais ir be paaiškinimo, ir vėl juos įjungs tvarkydamas.