IPv6 адресите не го заменуваат вашиот VPN: поминете ја првобитната работа

Отворете ја статусната страница на клиентот, видете глобална IPv6 адреса, и искушението е да заклучите дека тунелот станал изборен. Таа страница покажува адреса, не граница на шифрирање, не приватна табела за рутирање и не одлука за пристап. VPN обично носи три работи истовремено, а IPv6 допира само онаа за споделување на ретки адреси. Да се помине една услуга од клиентот до слушателот е единствениот начин да се види која работа преживува по промената.

Наведете ја работата пред да го отстраните алатот

Луѓето велат „VPN“ кога мислат на една од три распореди, и сите три пропаѓаат од различни причини. Да се стигне до една апликација објавена од еден тим е проблем на пристап до апликација. Да се приклучиш кон дефинирано множество приватни мрежи за да можат повеќе локации да стигнат една до друга е рутирачка врска. Да се одржува стабилен административен слој над инфраструктура што не ја контролирате целосно е оперативна распоредба со сопствен план за адреси.

IPv6 ја отстранува пречката за споделување адреси за првата распоредба, и таму работи вистинска работа, бидејќи директната адреса може да го замени преведувачот. За другите две не менува ништо, бидејќи барањето никогаш не беше недостиг на адреси. Запишете која од трите навистина ја извршувате пред да допрете конфигурација.

Јавната адреса не е шифрирање

Адреса со глобален опсег ви кажува каде домаќинот е достапен; не кажува ништо за тоа дали сообраќајот што пристигнува таму е шифриран или автентициран. Расправата за безбедност на RFC 8504 го одвојува поддржувањето на имплементацијата на IPsec од поширокиот избор меѓу IPsec, TLS, SSH и други пристапи, и токму таа разлика исчезнува кога достапноста се чита како заштита. Стекот што поддржува механизам докажал само дека механизмот е достапен, никогаш дека овој тек поминал низ него. За IPsec конкретно, договорената асоцијација и сообраќајот што таа го избира одлучуваат што е заштитено, а семејството адреси е својство на пакетот, не политика за него.

Достапноста е пак посебно прашање. Јавната адреса не прави небараниот сообраќај да пристигне, бидејќи рутата, ѕидот за заштита и слушателот секој има по еден глас, а отстранувањето на NAT отстранува еден филтер, не сите. Одлучете кој од тие три тунелот го заменуваше, ако воопшто.

Што покривката уште обезбедува

Покривката уште го заслужува своето место во три ситуации. Далечинските корисници можеби имаат потреба од определено множество рути наместо една апликација, две локации можеби имаат потреба од приватен договор за достапност, а операторите можеби сакаат адресирање што не се менува кога се менува давателот на пристап. Ниту една од трите не е за недостатокот на IPv4 адреси.

Глобалните адреси не го прават тоа без одржување. Уреден внатрешен план не ја одржува надворешната крајна точка да одговара откако давателот ќе ја промени, а автентикацијата, повторното поврзување и ажурирањата на имињата уште бараат сопственик. Одлучете како тие се обновуваат пред да исклучите нешто.

Поминете ја услугата што станува јавна

Започнете од домаќинот и наведете што навистина слуша, бидејќи апликацијата што ја одобривте ретко е единственото нешто на машината. ss -lntup печати секој TCP и UDP слушател со неговата адреса на врзување и го додава процесот сопственик каде вашите привилегии тоа го дозволуваат, што на прв поглед покажува дали административниот интерфејс седи на џокер адреса или само на loopback. Повторете го како ss -6 -lntup ако вашиот стек ги држи IPv6 сокетите одвоени.

Потоа класифицирајте ја секоја линија според публиката. Апликациска порта што носи сопствена автентикација и транспортна безбедност може да биде во ред на јавна адреса, додека административниот интерфејс, крајната точка за метрики и портата на базата на податоци обично не се. Една одобрена апликација е суд за таа апликација само, никогаш дозвола да се изложи секоја услуга што го дели домаќинот. Адресата на врзување во секоја линија ви кажува дали изложеноста веќе постои или би ја создала промената што ја планирате.

Два теста, потоа одлучете што да исклучите

Пред да отстраните слој, одговорете на две прашања на хартија. Прво, дали барањето има потреба од приватно рутирање, односно достапност што јавната адреса не ја подразбира и давателот на пристап не ја нуди? Второ, дали има потреба од заштитна граница, односно шифрирање и автентикација на тек што инаку би поминал отворено по недоверлива патека? Ако двата одговора се не за таа услуга, тунелот е кандидат за отстранување; ако било кој е да, тој останува.

Извршете го истиот тест на IPv4 и IPv6 одделно на клиент со двоен стек, бидејќи заштитениот IPv4 сообраќај не кажува ништо за IPv6 патеката. Глобалната IPv6 адреса на статусна страница не е доказ за истекување, а нејзиното отсуство не е доказ за заштита. Исклучете ги само услугите за кои двата одговора се запишани и уште се не, и забележете во дневникот на промени кое прашање го одлучи тоа.