IPv6 ULA VPN tinkle: privatus adresavimas, o ne privatumas

Adresai, kurie atrodo privatūs, nėra privatūs ta prasme, kurią turi galvoje dauguma žmonių, o unikalusis vietinis IPv6 adresavimas yra aiškiausias atvejis. ULA priešdėlis suteikia VPN stabilią vidinę schemą už jo esantiems ištekliams. Jis nieko neužšifruoja, neautentifikuoja kito galo ir nenusprendžia, kurias paslaugas klientas gali pasiekti. Priešdėlio traktavimas kaip saugumo kontrolės yra klaida, kurią šis straipsnis turi pašalinti.

Ką priešdėlis iš tikrųjų suteikia

RFC 4193 skiria fc00::/7 vietiniam naudojimui, o L bitas atskiria vietoje priskirtą erdvę nuo rezervuotos formos. Praktiškai tai reiškia, kad generuojate fd00::/8. Specifikacija taip pat apibrėžia, kaip turi būti išvedamas 40 bitų globalusis ID, kad nepriklausomos vietos netyčia nepasirinktų to paties priešdėlio. Ta erdvė sukurta likti už viešojo interneto ribų, ir tai yra maršrutizavimo savybė, o ne apsauga.

Vienoje vietoje įprastas išdėstymas yra /48 globalusis ID, padalytas į potinklius: vienas tunelio klientams, vienas serverio pusei ir vienas kiekvienam nuotoliniam LAN. Ši struktūra yra visas privalumas, ir tai yra adresavimo privalumas. Kiekvienam paketui vis dar reikia maršruto ir vis dar reikia politikos, kuri jį leidžia.

Painioti priešdėlį su tuneliu yra kelias, kuriuo projektas baigia dokumentuodamas fd00 adresus ir manydamas, kad srautas tarp jų yra apsaugotas. Jis nėra, nebent kažkas kitas atlieka apsaugą.

Kodėl pavyzdžio priešdėlio kopijavimas skaudina

Kiekviena mokymo priemonė naudoja įsimintiną priešdėlį, ir kiekvienas skaitytojas, kuris jį nusikopijuoja, paveldi tą pačią susidūrimo riziką. Dvi vietos, kurios vėliau sujungiamos tuneliu tarp vietų su identiškais diapazonais, sukuria būtent tą dviprasmiškumą, kuris žinomas iš persidengiančios privačios IPv4 erdvės. Nė viena pusė pati savaime nėra neteisinga, o sujungtas tinklas neturi būdo sužinoti, kuri paskirties vieta turima omenyje.

Globaliojo ID generavimas pagal dokumentuotą procesą užima minutę ir pašalina klausimą. Užsirašykite priešdėlį, generavimo įvestį ir datą prie adresų schemos.

Rizika nėra teorinė tam, kas po įsigijimo sujungia tinklus arba sujungia dvi laboratorijas per VPN. Ji taip pat nėra skubi vienai vietai, todėl atidedama tol, kol sujungimas jau suplanuotas.

Apimtis ir prieiga yra atskiri klausimai

ULA nėra skirtas įprastam globaliai maršrutizuojamam interneto adresavimui. Tai nepadaro patikimo kiekvieno kompiuterio, kuris jį naudoja, ir nepadaro tų kompiuterių nepasiekiamų iš kitų prijungtų privačių tinklų. Užkardos ir programų leidimai vis dar nusprendžia, ką gali naudoti kita pusė, o tunelis vis dar teikia tą autentifikavimą, su kuriuo buvo sukonfigūruotas.

Internetui išėjimas turi turėti savo IPv6 išėjimo projektą. ULA adreso priskyrimas klientui nesukuria prieigos prie savavališkų pasaulinių paskirčių, ir iš kliento, kuris jį gauna, nereikėtų tikėtis, kad jis per jį naršys viešajame internete.

Dvi vietos su skirtingais priešdėliais vis dar turi turėti grąžinimo maršrutus viena kitos diapazonams, o abi užkardos turi turėti atitinkančias taisykles. Niekas iš to neišplaukia iš adresų šeimos. Tai, kas išplaukia, yra dokumentavimo darbas: priešdėlių lentelė ir sistemos, kurioms leidžiama atsakyti kiekviename iš jų.

Patikrinkite schemą abiejuose galuose

Patvirtinkite, kad priešdėlis pasirodo ten, kur manote, o tada patvirtinkite, kad paskirties vieta tikrai pasiekiama per jį.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Adresų sąrašas parodo, kuri sąsaja turi kurį potinklį, o neteisingą gavęs klientas paprastai tai parodo čia. Maršrutų sąrašas parodo, ar nuotolinis priešdėlis turi kelią per tunelį, o ne yra numetamas. Bandymas atsako į vienintelį svarbų klausimą: ar paketas atlieka kelionę pirmyn ir atgal.

Pakartokite patikrinimą po prisijungimo iš naujo, nes klientas, kuris išlaiko adresą, bet praranda maršrutą, sukuria ryšį, kuris atrodo veikiantis ir nieko neperduoda. Adresas yra lengvoji dalis, o maršrutas yra tai, kas dingsta. Išsaugokite abi išvestis prie ryšio profilio pavadinimo, kad kitas palyginimas prasidėtų nuo įrodymų.