Alamat IPv6 tidak menggantikan VPN anda: telusuri kerja asal

Buka halaman status klien, lihat alamat IPv6 global, dan godaannya ialah membuat kesimpulan bahawa terowong telah menjadi pilihan. Halaman itu menunjukkan alamat, bukan sempadan penyulitan, bukan jadual penghalaan peribadi dan bukan keputusan akses. VPN biasanya membawa tiga kerja serentak, dan IPv6 hanya menyentuh kerja yang berkaitan dengan perkongsian alamat yang jarang. Menelusuri satu perkhidmatan dari klien hingga pendengar ialah satu-satunya cara untuk melihat kerja mana yang bertahan selepas perubahan.

Namakan kerja sebelum menyingkirkan alat

Orang berkata „VPN” apabila memaksudkan salah satu daripada tiga susunan, dan ketiga-tiganya gagal atas sebab yang berbeza. Mencapai satu aplikasi yang diterbitkan oleh satu pasukan ialah masalah akses aplikasi. Menyertai set rangkaian peribadi yang ditetapkan supaya beberapa tapak dapat mencapai satu sama lain ialah hubungan penghalaan. Mengekalkan lapisan pentadbiran yang stabil di atas infrastruktur yang tidak anda kawal sepenuhnya ialah susunan operasi dengan pelan alamatnya sendiri.

IPv6 menghapuskan halangan perkongsian alamat untuk susunan pertama, dan di situ ia melakukan kerja sebenar, kerana alamat langsung boleh menggantikan penterjemah. Bagi dua yang lain ia tidak mengubah apa-apa, kerana keperluan itu tidak pernah kekurangan alamat. Tuliskan yang mana antara ketiga-tiganya yang benar-benar anda jalankan sebelum menyentuh konfigurasi.

Alamat awam bukan penyulitan

Alamat dengan skop global memberitahu anda di mana hos boleh dicapai; ia tidak mengatakan apa-apa tentang sama ada trafik yang tiba di situ disulitkan atau disahkan. Perbincangan keselamatan RFC 8504 memisahkan sokongan pelaksanaan IPsec daripada pilihan yang lebih luas antara IPsec, TLS, SSH dan pendekatan lain, dan itulah tepatnya perbezaan yang hilang apabila ketercapaian dibaca sebagai perlindungan. Timbunan yang menyokong sesuatu mekanisme hanya membuktikan bahawa mekanisme itu tersedia, tidak pernah bahawa aliran ini melaluinya. Bagi IPsec khususnya, persatuan yang dirundingkan dan trafik yang dipilihnya menentukan apa yang dilindungi, dan keluarga alamat ialah sifat paket, bukan dasar untuknya.

Ketercapaian ialah soalan berasingan sekali lagi. Alamat awam tidak menyebabkan trafik yang tidak diminta tiba, kerana laluan, tembok api dan pendengar masing-masing mempunyai satu undi, dan membuang NAT membuang satu penapis, bukan semuanya. Tentukan yang mana antara ketiga-tiganya terowong itu menggantikan, jika ada.

Apa yang masih disediakan lapisan atas

Lapisan atas masih berhak mendapat tempatnya dalam tiga keadaan. Pengguna jauh mungkin memerlukan set laluan tertentu dan bukan satu aplikasi, dua tapak mungkin memerlukan perjanjian ketercapaian peribadi, dan pengendali mungkin mahukan pengalamatan yang tidak berubah apabila penyedia akses berubah. Tiada satu pun daripada ketiga-tiganya tentang kekurangan alamat IPv4.

Alamat global tidak menjadikannya bebas penyelenggaraan. Pelan dalaman yang kemas tidak memastikan titik akhir luaran terus menjawab selepas penyedia mengubahnya, dan pengesahan, penyambungan semula serta kemas kini nama masih memerlukan pemilik. Tentukan bagaimana semuanya pulih sebelum apa-apa dimatikan.

Telusuri perkhidmatan yang menjadi awam

Mulakan pada hos dan senaraikan apa yang benar-benar mendengar, kerana aplikasi yang anda luluskan jarang menjadi satu-satunya perkara pada mesin. ss -lntup mencetak setiap pendengar TCP dan UDP dengan alamat ikatannya dan menambah proses pemilik di tempat keistimewaan anda membenarkannya, yang menunjukkan pada sekali pandang sama ada antara muka pentadbiran berada pada alamat kad liar atau hanya pada loopback. Ulangi sebagai ss -6 -lntup jika timbunan anda menyimpan soket IPv6 secara berasingan.

Kemudian kelaskan setiap baris mengikut audiens. Port aplikasi yang membawa pengesahan dan keselamatan pengangkutannya sendiri mungkin sesuai pada alamat awam, manakala antara muka pentadbiran, titik akhir metrik dan port pangkalan data biasanya tidak. Satu aplikasi yang diluluskan ialah penghakiman tentang aplikasi itu sahaja, tidak pernah kebenaran untuk mendedahkan setiap perkhidmatan yang berkongsi hos. Alamat ikatan pada setiap baris memberitahu anda sama ada pendedahan sudah wujud atau akan dicipta oleh perubahan yang anda rancang.

Dua ujian, kemudian tentukan apa yang perlu dimatikan

Sebelum menyingkirkan lapisan, jawab dua soalan di atas kertas. Pertama, adakah keperluan itu memerlukan penghalaan peribadi, iaitu ketercapaian yang tidak tersirat oleh alamat awam dan tidak ditawarkan oleh penyedia akses? Kedua, adakah ia memerlukan sempadan perlindungan, iaitu penyulitan dan pengesahan pada aliran yang jika tidak akan melintasi laluan tidak dipercayai secara terbuka? Jika kedua-dua jawapan ialah tidak untuk perkhidmatan itu, terowong ialah calon untuk disingkirkan; jika salah satu ialah ya, ia kekal.

Jalankan ujian yang sama pada IPv4 dan IPv6 secara berasingan pada klien tindanan dwi, kerana trafik IPv4 yang dilindungi tidak menjelaskan apa-apa tentang laluan IPv6. Alamat IPv6 global dalam halaman status bukan bukti kebocoran, dan ketiadaannya bukan bukti perlindungan. Matikan hanya perkhidmatan yang kedua-dua jawapannya ditulis dan masih tidak, dan catat dalam rekod perubahan soalan mana yang memutuskannya.