IPv6 adreses neaizstāj jūsu VPN: izstaigājiet sākotnējo darbu

Atveriet klienta statusa lapu, ieraugiet globālu IPv6 adresi, un kārdinājums ir secināt, ka tunelis ir kļuvis neobligāts. Šī lapa rāda adresi, nevis šifrēšanas robežu, nevis privātu maršrutēšanas tabulu un nevis piekļuves lēmumu. VPN parasti vienlaikus veic trīs darbus, un IPv6 skar tikai to, kas attiecas uz trūcīgu adrešu koplietošanu. Vienas pakalpojuma izstaigāšana no klienta līdz klausītājam ir vienīgais veids, kā redzēt, kurš darbs iztur izmaiņas.

Nosauciet darbu, pirms noņemat rīku

Cilvēki saka „VPN”, kad domā vienu no trim izkārtojumiem, un visi trīs cieš neveiksmi dažādu iemeslu dēļ. Sasniegt vienu lietojumprogrammu, ko publicējusi viena komanda, ir lietojumprogrammas piekļuves problēma. Pievienoties noteiktai privāto tīklu kopai, lai vairākas vietas sasniegtu viena otru, ir maršrutēšanas attiecības. Uzturēt stabilu administratīvo slāni virs infrastruktūras, ko jūs pilnībā nekontrolējat, ir operāciju izkārtojums ar savu adrešu plānu.

IPv6 novērš adrešu koplietošanas šķērsli pirmajam izkārtojumam, un tur tas dara īstu darbu, jo tieša adrese var aizstāt tulkotāju. Pārējiem diviem tas neko nemaina, jo prasība nekad nav bijusi adrešu trūkums. Pierakstiet, kuru no trim jūs patiešām darbināt, pirms aiztiecat konfigurāciju.

Publiskā adrese nav šifrēšana

Globāla mēroga adrese pasaka, no kurienes resursdators ir sasniedzams; tā neko nepasaka par to, vai tur ienākošā plūsma ir šifrēta vai autentificēta. RFC 8504 drošības apspriede nošķir IPsec ieviešanas atbalstu no plašākas izvēles starp IPsec, TLS, SSH un citām pieejām, un tieši šī atšķirība pazūd, kad sasniedzamību lasa kā aizsardzību. Steks, kas atbalsta mehānismu, ir pierādījis tikai to, ka mehānisms ir pieejams, nekad to, ka šī plūsma tam ir gājusi cauri. Konkrēti IPsec gadījumā apspriestā asociācija un tās izvēlētā plūsma nosaka, kas ir aizsargāts, un adrešu saime ir paketes īpašība, nevis politika tai.

Sasniedzamība atkal ir atsevišķs jautājums. Publiskā adrese nepanāk, ka ierodas nepieprasīta plūsma, jo maršrutam, ugunsmūrim un klausītājam katram ir sava balss, un NAT noņemšana noņem vienu filtru, nevis visus. Izlemiet, kuru no tiem trim tunelis aizstāja, ja vispār.

Ko pārklājums vēl sniedz

Pārklājums joprojām nopelna savu vietu trijās situācijās. Attālinātiem lietotājiem var būt vajadzīgs noteikts maršrutu kopums, nevis viena lietojumprogramma, divām vietām var būt vajadzīga privāta sasniedzamības vienošanās, un operatori var gribēt adresāciju, kas nemainās, kad mainās piekļuves pakalpojumu sniedzējs. Neviens no trim nav par IPv4 adrešu trūkumu.

Globālās adreses to nepadara bez apkopes. Sakārtots iekšējais plāns netur ārējo galapunktu atbildam pēc tam, kad pakalpojumu sniedzējs to maina, un autentifikācijai, atkārtotai savienošanai un nosaukumu atjauninājumiem joprojām vajadzīgs īpašnieks. Izlemiet, kā tie atjaunojas, pirms kaut kas tiek izslēgts.

Izstaigājiet pakalpojumu, kas kļūst publisks

Sāciet ar resursdatoru un uzskaitiet, kas patiešām klausās, jo jūsu apstiprinātā lietojumprogramma reti ir vienīgā lieta mašīnā. ss -lntup izdrukā katru TCP un UDP klausītāju ar tā piesaistes adresi un pievieno īpašnieka procesu, kur jūsu privilēģijas to pieļauj, kas vienā skatienā parāda, vai administrācijas saskarne atrodas aizstājējadresē vai tikai loopback. Atkārtojiet to kā ss -6 -lntup, ja jūsu steks tur IPv6 ligzdas atsevišķi.

Pēc tam klasificējiet katru rindu pēc auditorijas. Lietojumprogrammas ports, kam ir sava autentifikācija un transporta drošība, var būt kārtībā publiskā adresē, savukārt administrācijas saskarne, metrikas galapunkts un datubāzes ports parasti nav. Viena apstiprināta lietojumprogramma ir spriedums par šo lietojumprogrammu vien, nekad atļauja atklāt katru pakalpojumu, kas dala resursdatoru. Piesaistes adrese katrā rindā pasaka, vai atklātība jau pastāv vai to radītu jūsu plānotās izmaiņas.

Divi testi, tad izlemiet, ko izslēgt

Pirms noņemat slāni, atbildiet uz diviem jautājumiem uz papīra. Pirmkārt, vai prasībai vajadzīga privāta maršrutēšana, tas ir, sasniedzamība, ko publiskā adrese neietver un piekļuves pakalpojumu sniedzējs nepiedāvā? Otrkārt, vai tai vajadzīga aizsardzības robeža, tas ir, šifrēšana un autentifikācija plūsmai, kas citādi šķērsotu neuzticamu ceļu atklāti? Ja abas atbildes šim pakalpojumam ir nē, tunelis ir noņemšanas kandidāts; ja kaut viena ir jā, tas paliek.

Palaidiet to pašu testu IPv4 un IPv6 atsevišķi divkāršā steks klientā, jo aizsargātā IPv4 plūsma neko nepasaka par IPv6 ceļu. Globālā IPv6 adrese statusa lapā nav noplūdes pierādījums, un tās trūkums nav aizsardzības pierādījums. Izslēdziet tikai tos pakalpojumus, kuriem abas atbildes tika pierakstītas un joprojām ir nē, un izmaiņu žurnālā atzīmējiet, kurš jautājums to izšķīra.