IPv6 ULA VPN: privāta adresācija, nevis privātums

Adreses, kas izskatās privātas, nav privātas tā nozīmē, ko domā vairums cilvēku, un IPv6 unikālā lokālā adresācija ir visskaidrākais gadījums. ULA prefikss dod VPN stabilu iekšēju plānu tam aiz muguras esošajiem resursiem. Tas neko nešifrē, neautentificē otru pusi un nenosaka, kuriem pakalpojumiem klients var piekļūt. Prefiksa uzskatīšana par drošības kontroli ir kļūda, ko šis raksts domāts novērst.

Ko prefikss patiešām nodrošina

RFC 4193 atvēl fc00::/7 lokālai lietošanai, un L bits atšķir lokāli piešķirto telpu no rezervētās formas. Praksē tas nozīmē, ka jūs ģenerējat fd00::/8. Specifikācija arī nosaka, kā jāatvasina 40 bitu globālais ID, lai neatkarīgas vietas nejauši neizvēlētos vienu un to pašu prefiksu. Šī telpa ir veidota, lai paliktu ārpus publiskā interneta, un tā ir maršrutēšanas īpašība, nevis aizsardzība.

Vienā vietā parastais izkārtojums ir /48 globālais ID, kas sadalīts apakštīklos: viens tuneļa klientiem, viens servera pusei un viens katram attālinātajam LAN. Šī struktūra ir viss ieguvums, un tas ir adresācijas ieguvums. Katram paketam joprojām vajag maršrutu un joprojām vajag politiku, kas to atļauj.

Prefiksa sajaukšana ar tuneli ir ceļš, kā projekts beidz dokumentēt fd00 adreses un pieņemt, ka trafiks starp tām ir aizsargāts. Tas nav, ja vien kaut kas cits nenodrošina aizsardzību.

Kāpēc piemēra prefiksa kopēšana sāp

Katra apmācība izmanto viegli iegaumējamu prefiksu, un katrs lasītājs, kurš to nokopē, manto to pašu sadursmes risku. Divas vietas, kas vēlāk tiek savienotas ar vietņu tuneļa starpniecību ar identiskiem diapazoniem, rada tieši to neskaidrību, kas pazīstama no pārklājošās privātās IPv4 telpas. Neviena puse pati par sevi nav nepareiza, un apvienotajam tīklam nav veida uzzināt, kura galamērķis ir domāts.

Globālā ID ģenerēšana pēc dokumentētā procesa aizņem minūti un novērš jautājumu. Pierakstiet prefiksu, ģenerēšanas ievadi un datumu blakus adrešu plānam.

Risks nav teorētisks ikvienam, kas pēc iegādes apvieno tīklus vai savieno divas laboratorijas ar VPN starpniecību. Tas nav arī steidzams vienai vietai, tāpēc tas tiek atlikts, līdz apvienošana jau ir ieplānota.

Apjoms un piekļuve ir atsevišķi jautājumi

ULA nav paredzēts parastai globāli maršrutētai interneta adresācijai. Tas nepadara uzticamu katru resursdatoru, kas to izmanto, un nepadara šos resursdatorus nesasniedzamus no citiem savienotiem privātiem tīkliem. Ugunsmūri un lietojumprogrammu atļaujas joprojām nosaka, ko otra puse drīkst izmantot, un tunelis joprojām nodrošina to autentifikāciju, ar kuru tas tika konfigurēts.

Interneta izejai vajadzīgs savs IPv6 izejas projekts. ULA adreses piešķiršana klientam nerada piekļuvi patvaļīgiem globāliem galamērķiem, un no klienta, kas to saņem, nevajadzētu gaidīt, ka tas caur to pārlūkos publisko internetu.

Divām vietām ar atšķirīgiem prefiksiem joprojām vajag atgriešanās maršrutus otras diapazoniem, un abiem ugunsmūriem vajag atbilstošus noteikumus. Nekas no tā neizriet no adrešu saimes. Tas, kas izriet, ir dokumentācijas darbs: prefiksu tabula un sistēmas, kurām atļauts atbildēt katrā no tiem.

Pārbaudiet plānu abos galos

Pārliecinieties, ka prefikss parādās tur, kur jūs domājat, un pēc tam pārliecinieties, ka galamērķis patiešām ir sasniedzams caur to.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Adrešu saraksts parāda, kurai saskarnei ir kurš apakštīkls, un klients, kas saņēmis nepareizo, to parasti parāda šeit. Maršrutu saraksts parāda, vai attālinātajam prefiksam ir ceļš caur tuneli, nevis tas tiek izmests. Pārbaude atbild uz vienīgo svarīgo jautājumu: vai pakete veic ceļu turp un atpakaļ.

Atkārtojiet pārbaudi pēc atkārtotas savienojuma izveides, jo klients, kas saglabā adresi, bet zaudē maršrutu, rada savienojumu, kas izskatās aktīvs un neko nepārsūta. Adrese ir vieglā daļa, un maršruts ir tas, kas pazūd. Saglabājiet abas izvades blakus savienojuma profila nosaukumam, lai nākamais salīdzinājums sāktos ar pierādījumiem.