IPv6 адреси за приватност или RDP список на дозволи: изберете компромисот

Пристапот до оддалечената работна површина работеше еден месец, а потоа списокот на дозволи престана да се совпаѓа без причина што некој можеше да ја види. Домаќинот не се премести и ништо во огнениот ѕид не беше уредено. Windows продолжува да создава привремени IPv6 адреси со случајни идентификатори на интерфејсот и да ги повлекува, така што изворната адреса што серверот ја гледа во кој било ден може да биде онаа што никој не ја напишал во правилото. Исклучувањето на ова однесување го поправа совпаѓањето и истовремено го претвора домаќинот во долготраен идентификатор. Изважете ги алтернативите пред да ја прифатите втората половина.

Зошто правилото престана да се совпаѓа

RFC 4941 опишува привремени адреси: домаќинот создава дополнителни адреси со случајни идентификатори и ги повлекува, што му пречи на набљудувачот да поврзе еден домаќин меѓу посетите. Windows го спроведува тоа однесување, па вчерашната изворна адреса не е нужно денешната. Предвидливата адреса сѐ уште постои на интерфејсот; едноставно не е онаа што ја претпочита излезната врска.

Затоа дефектот изгледа повремен, а не целосен. Правилото се совпаѓа извесно време откако ќе се создаде адресата, престанува да се совпаѓа кога таа ќе се повлече и повторно почнува да се совпаѓа откако некој ќе го уреди. Следењето групирано по изворна адреса и проверките на лиценцата врзани за адресата на домаќинот се кршат по истиот распоред. Правило што работи веднаш по уредувањето и откажува три недели подоцна обично е ова, а не повторно вчитување на огнениот ѕид.

Прва опција: една стабилна адреса, помалку приватност

Вообичаената поправка ги исклучува двата механизми за ротација на домаќинот: netsh interface ipv6 set privacy state=disabled store=persistent и netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Додајте store=active ако сакате промената да стапи на сила без чекање на рестартирање, и прифатете дека сега идентификаторот го направивте предвидлив низ мрежите.

Токму таа предвидливост требаше да ја спречат екстензиите. Адреса што го следи домаќинот од кафуле до канцеларија и дома е удобен клуч за филтрирање и исто толку удобен клуч за следење, а второто својство го надживува тикетот што го побара првото.

Втора опција: дозволете префикс или име

Дозволувањето на /64 наместо целосната адреса ја одржува ротацијата недопрена и одговара на послабо, но често искрено тврдење: оваа машина е на мојата домашна мрежа. Тоа престанува да биде доволно во моментот кога тој префикс содржи домаќини што не би ги прифатиле, што на потрошувачка врска обично е помал сет отколку што луѓето претпоставуваат. Името објавено преку динамичен DNS е полесно за управување, бидејќи записот го следи домаќинот и политиката се чита како идентитет, а не како опсег што расте секогаш кога се додава уред.

Двете опции бараат решавач на кој серверот може да му верува и име што не може тривијално да се фалсификува, па третирајте ги како политичка одлука за идентитетот, а не како козметичка промена на правилото. Запишете кој решавач одговара на тоа име, бидејќи правилото е само толку веродостојно колку записот зад него.

Трета опција: нека тунелот ја додели адресата

Ако врската поминува низ VPN што го контролирате, серверот може да ја издаде адресата од својот базен, и списокот на дозволи тогаш упатува на вредност што ја избира серверот, а не на онаа што ја претпочита клиентот. Тоа работи добро за управувани клиенти и лошо за сѐ што клиентот може да го надмине, па проверете која страна навистина победува во вашето распоредување.

Преместувањето на одлуката целосно надвор од адресата, кон клиентски сертификат или автентифицирана порта, е опцијата што се скалира, бидејќи престанува да зависи од вредност што оперативниот систем има право да ја смени.

Изберете имајќи ја предвид цената на следењето

Запишете ги четирите опции наспроти вистинскиот услов и изберете една наместо да ги комбинирате. Ако сепак ја исклучите приватноста, ограничете ја на домаќинот што ја потребува, документирајте ја причината покрај правилото и разгледајте стабилно-приватно адресирање од RFC 7217 каде платформата го поддржува, бидејќи чува идентификатор по префикс без да го открива оној изведен од хардверот. Кога списокот на дозволи ќе се замени, повторно овозможете ги екстензиите.

Забележете ја промената покрај правилото што го поддржува. Без таа забелешка следниот администратор наоѓа домаќин со исклучени екстензии за приватност и без објаснување, и повторно ги вклучува за време на чистење.