IPv6 ULA во VPN: приватно адресирање, а не приватност

Адресите што изгледаат приватно не се приватни во смисла што повеќето луѓе ја имаат на ум, а единственото локално адресирање на IPv6 е најјасниот случај. Префиксот ULA му дава на VPN стабилен внатрешен план за ресурсите зад него. Тој не шифрира ништо, не го автентицира партнерот и не одлучува до кои услуги клиентот може да стигне. Третирањето на префиксот како безбедносна контрола е грешката што оваа статија треба да ја отстрани.

Што всушност обезбедува префиксот

RFC 4193 го одделува fc00::/7 за локална употреба, при што битот L го разликува локално доделениот простор од резервираната форма. Во практика тоа значи дека генерирате fd00::/8. Спецификацијата исто така дефинира како треба да се изведе 40-битниот глобален ID, за независните локации случајно да не го изберат истиот префикс. Тој простор е дизајниран да остане надвор од јавниот интернет, што е својство на рутирањето, а не заштита.

Во рамките на локација, вообичаениот распоред е /48 глобален ID поделен на подмрежи: една за клиентите на тунелот, една за страната на серверот и една за секој оддалечен LAN. Таа структура е целата корист, и тоа е корист за адресирањето. Секој пакет се уште бара рута и се уште бара политика што го дозволува.

Мешањето на префиксот со тунел е начинот на кој еден дизајн завршува документирајќи fd00 адреси и претпоставувајќи дека сообраќајот меѓу нив е заштитен. Не е, освен ако нешто друго не ја обезбедува заштитата.

Зошто копирањето на пример-префиксот боли

Секој туторијал користи префикс лесен за помнење, и секој читател што ќе го копира наследува истиот ризик од судир. Две локации што подоцна се поврзуваат преку тунел од локација до локација со идентични опсези го создаваат токму онаа двосмисленост позната од преклопувачкиот приватен IPv4 простор. Ниту една страна сама по себе не е погрешна, а комбинираната мрежа нема начин да знае кое одредиште се мисли.

Генерирањето на глобалниот ID според документираниот процес трае една минута и го отстранува прашањето. Забележете го префиксот, влезот за генерирање и датумот покрај планот за адреси.

Ризикот не е теоретски за секој што спојува мрежи по преземање или поврзува две лаборатории преку VPN. Тој исто така не е итен за една локација, поради што се одложува додека спојувањето веќе не е закажано.

Опсегот и пристапот се одделни прашања

ULA не е наменет за обично глобално рутирано интернет адресирање. Тоа не го прави доверлив секој хост што го користи и не ги прави тие хостови недостапни од други поврзани приватни мрежи. Огнените ѕидови и дозволите на апликациите се уште одлучуваат што смее да користи партнерот, а тунелот се уште ја обезбедува автентикацијата со која бил конфигуриран.

Излезот на интернет бара свој дизајн за излез IPv6. Доделувањето ULA адреса на клиент не создава пристап до произволни глобални одредишта, и од клиент што добива една не треба да се очекува да прелистува јавен интернет преку неа.

Две локации со различни префикси се уште бараат повратни рути за опсезите на другата, и двата огнени ѕида бараат соодветни правила. Ништо од тоа не произлегува од семејството адреси. Она што произлегува е документациска работа: табела со префикси и системи што смеат да одговараат на секој од нив.

Проверете го планот на двата краја

Потврдете дека префиксот се појавува таму каде што мислите, а потоа потврдете дека одредиштето навистина е достапно преку него.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Списокот на адреси покажува кој интерфејс која подмрежа ја држи, а клиентот што ја добил погрешната обично го покажува тоа овде. Списокот на рути покажува дали оддалечениот префикс има пат низ тунелот наместо да биде отфрлен. Тестот одговара на единственото важно прашање: дали пакетот го прави патувањето таму и назад.

Повторете ја проверката по повторно поврзување, бидејќи клиентот што ја задржува адресата но ја губи рутата создава врска што изгледа активна и ништо не препраќа. Адресата е лесниот дел, а рутата е она што исчезнува. Зачувајте ги двата излези покрај името на профилот за поврзување, за следната споредба да започне од докази.