IPv6 privātuma adreses vai RDP atļauto saraksts: izvēlieties kompromisu

Attālinātās darbvirsmas piekļuve darbojās mēnesi, un tad atļauto saraksts pārstāja sakrist bez kāda redzama iemesla. Resursdators nebija pārvietots, un ugunsmūrī nekas netika rediģēts. Windows turpina veidot pagaidu IPv6 adreses ar nejaušiem saskarnes identifikatoriem un tās atsaukt, tāpēc avota adrese, ko serveris redz jebkurā dienā, var būt tāda, ko neviens nav ierakstījis noteikumā. Šīs uzvedības izslēgšana izlabo atbilstību un vienlaikus pārvērš resursdatoru ilglaicīgā identifikatorā. Izsveriet alternatīvas, pirms pieņemat otro pusi.

Kāpēc noteikums pārstāja sakrist

RFC 4941 apraksta pagaidu adreses: resursdators veido papildu adreses ar nejaušinātiem identifikatoriem un tās atsauc, kas neļauj novērotājam korelēt vienu resursdatoru starp apmeklējumiem. Windows īsteno šo uzvedību, tāpēc vakardienas avota adrese nav obligāti šodienas. Paredzamā adrese joprojām pastāv saskarnē; tā vienkārši nav tā, kurai priekšroku dod izejošais savienojums.

Tāpēc kļūme izskatās pārtraukta, nevis pilnīga. Noteikums sakrīt kādu laiku pēc adreses izveides, pārstāj sakrist, kad tā tiek atsaukta, un atkal sāk sakrist pēc tam, kad kāds to rediģē. Uzraudzība, kas grupēta pēc avota adreses, un licences pārbaudes, kas piesaistītas resursdatora adresei, lūzt pēc tā paša grafika. Noteikums, kas darbojas uzreiz pēc rediģēšanas un neizdodas pēc trim nedēļām, parasti ir šis, nevis ugunsmūra pārlāde.

Pirmais variants: viena stabila adrese, mazāk privātuma

Parastais labojums izslēdz abus rotācijas mehānismus resursdatorā: netsh interface ipv6 set privacy state=disabled store=persistent un netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Pievienojiet store=active, ja vēlaties, lai izmaiņas stātos spēkā, negaidot pārstartēšanu, un pieņemiet, ka esat padarījis identifikatoru paredzamu starp tīkliem.

Tieši šo paredzamību bija paredzēts novērst paplašinājumiem. Adrese, kas seko resursdatoram no kafejnīcas uz biroju un mājām, ir ērta filtrēšanas atslēga un tikpat ērta izsekošanas atslēga, un otrā īpašība pārdzīvo biļeti, kas prasīja pirmo.

Otrais variants: atļaut prefiksu vai nosaukumu

Atļaujot /64, nevis pilnu adresi, rotācija paliek neskarta un atbilst vājākam, bet bieži godīgam apgalvojumam: šī mašīna ir manā mājas tīklā. Tas pārstāj būt pietiekams brīdī, kad šajā prefiksā ir resursdatori, kurus jūs neielaistu, un patērētāja savienojumā tas parasti ir mazāka kopa, nekā cilvēki pieņem. Vārds, kas publicēts ar dinamisko DNS, ir vieglāk pārvaldāms, jo ieraksts seko resursdatoram un politika tiek lasīta kā identitāte, nevis kā diapazons, kas pieaug katru reizi, kad tiek pievienota ierīce.

Abiem variantiem ir vajadzīgs risinātājs, kam serveris var uzticēties, un vārds, ko nevar vienkārši viltot, tāpēc izturieties pret tiem kā pret politisku lēmumu par identitāti, nevis kā pret kosmētisku noteikuma izmaiņu. Pierakstiet, kurš risinātājs atbild uz šo vārdu, jo noteikums ir tik uzticams, cik uzticams ir ieraksts aiz tā.

Trešais variants: ļaujiet tunelim piešķirt adresi

Ja savienojums iet caur VPN, ko kontrolējat jūs, serveris var izsniegt adresi no sava baseina, un atļauto saraksts tad atsaucas uz vērtību, ko izvēlas serveris, nevis to, kurai priekšroku dod klients. Tas labi darbojas pārvaldītiem klientiem un slikti visam, ko klients var apiet, tāpēc pārbaudiet, kura puse jūsu izvietojumā patiešām uzvar.

Pārcelt lēmumu pilnībā prom no adreses, uz klienta sertifikātu vai autentificētu vārteju, ir variants, kas mērogojas, jo pārstāj būt atkarīgs no vērtības, kuru operētājsistēmai ir tiesības mainīt.

Izvēlieties, ņemot vērā izsekošanas izmaksas

Izrakstiet četrus variantus pret faktisko prasību un izvēlieties vienu, nevis tos kombinējiet. Ja tomēr izslēdzat privātumu, ierobežojiet to ar resursdatoru, kuram tas nepieciešams, dokumentējiet iemeslu blakus noteikumam un apsveriet stabilu privātu adresāciju no RFC 7217 tur, kur platforma to atbalsta, jo tā saglabā identifikatoru katram prefiksam, neatklājot no aparatūras atvasināto. Kad atļauto saraksts tiks aizstāts, atkal iespējojiet paplašinājumus.

Reģistrējiet izmaiņas blakus noteikumam, ko tās atbalsta. Bez šīs piezīmes nākamais administrators atrod resursdatoru ar izslēgtiem privātuma paplašinājumiem un bez paskaidrojuma, un atkal tos ieslēdz tīrīšanas laikā.