Alamat Privasi IPv6 atau Senarai Benar RDP: Pilih Pertukaran

Akses desktop jauh berfungsi selama sebulan, kemudian senarai benar berhenti sepadan tanpa sebab yang dapat dilihat oleh sesiapa. Hos tidak berpindah dan tiada apa-apa dalam firewall diedit. Windows terus membentuk alamat IPv6 sementara dengan pengecam antara muka rawak dan menariknya semula, jadi alamat sumber yang dilihat pelayan pada mana-mana hari mungkin salah satu yang tiada siapa tulis ke dalam peraturan. Mematikan tingkah laku itu membaiki padanan dan pada masa yang sama menjadikan hos pengecam jangka panjang. Timbang alternatif sebelum menerima separuh kedua.

Mengapa peraturan berhenti sepadan

RFC 4941 menerangkan alamat sementara: hos mencipta alamat tambahan dengan pengecam rawak dan menariknya semula, yang menghalang pemerhati daripada mengaitkan satu hos merentas lawatan. Windows melaksanakan tingkah laku itu, jadi alamat sumber semalam belum tentu alamat hari ini. Alamat yang boleh diramal masih wujud pada antara muka; cuma ia bukan yang diutamakan oleh sambungan keluar.

Itulah sebabnya kegagalan kelihatan berselang-seli dan bukan menyeluruh. Peraturan sepadan untuk seketika selepas alamat dicipta, berhenti sepadan apabila ia ditarik semula, dan mula sepadan semula selepas seseorang mengeditnya. Pemantauan yang dikumpulkan mengikut alamat sumber dan pemeriksaan lesen yang berkunci pada alamat hos rosak pada jadual yang sama. Peraturan yang berfungsi sejurus selepas diedit dan gagal tiga minggu kemudian biasanya ini, bukan muat semula firewall.

Pilihan satu: satu alamat stabil, kurang privasi

Pembaikan biasa mematikan kedua-dua mekanisme putaran pada hos: netsh interface ipv6 set privacy state=disabled store=persistent dan netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Tambah store=active jika anda mahu perubahan berkuat kuasa tanpa menunggu permulaan semula, dan terima bahawa anda kini menjadikan pengecam boleh diramal merentas rangkaian.

Kebolehramalan itulah yang cuba dihalang oleh sambungan. Alamat yang mengikut hos dari kafe ke pejabat ke rumah ialah kunci penapisan yang mudah dan kunci penjejakan yang sama mudahnya, dan sifat kedua hidup lebih lama daripada tiket yang meminta yang pertama.

Pilihan dua: benarkan awalan atau nama

Membenarkan /64 dan bukan alamat penuh mengekalkan putaran utuh dan sepadan dengan dakwaan yang lebih lemah tetapi selalunya jujur: mesin ini berada di rangkaian rumah saya. Ia berhenti memadai pada saat awalan itu mengandungi hos yang anda tidak akan benarkan, yang pada sambungan pengguna biasanya set lebih kecil daripada yang orang sangka. Nama yang diterbitkan melalui DNS dinamik lebih mudah dikendalikan, kerana rekod mengikut hos dan dasar dibaca sebagai identiti dan bukan sebagai julat yang membesar setiap kali peranti ditambah.

Kedua-dua pilihan memerlukan penyelesai yang boleh dipercayai oleh pelayan dan nama yang tidak mudah dipalsukan, jadi anggap kedua-duanya sebagai keputusan dasar tentang identiti dan bukan sebagai perubahan kosmetik pada peraturan. Catat penyelesai mana yang menjawab nama itu, kerana peraturan hanya sekuat rekod di belakangnya.

Pilihan tiga: biarkan terowong menetapkan alamat

Jika sambungan melalui VPN yang anda kawal, pelayan boleh mengeluarkan alamat daripada kolamnya sendiri, dan senarai benar kemudian merujuk nilai yang dipilih pelayan dan bukan nilai yang diutamakan klien. Itu berfungsi baik untuk klien terurus dan buruk untuk apa-apa yang boleh diatasi klien, jadi sahkan pihak mana yang benar-benar menang dalam penggunaan anda.

Memindahkan keputusan sepenuhnya daripada alamat, kepada sijil klien atau get laluan yang disahkan, ialah pilihan yang berskala, kerana ia berhenti bergantung pada nilai yang sistem pengendalian berhak menukar.

Pilih dengan kos penjejakan di hadapan

Tulis keempat-empat pilihan terhadap keperluan sebenar, dan pilih satu daripada menggabungkannya. Jika anda tetap mematikan privasi, hadkan ia kepada hos yang memerlukannya, dokumentasikan sebabnya di sebelah peraturan, dan pertimbangkan pengalamatan stabil-privasi daripada RFC 7217 di tempat platform menyokongnya, kerana ia menyimpan pengecam bagi setiap awalan tanpa mendedahkan yang diperoleh daripada perkakasan. Dayakan semula sambungan apabila senarai benar diganti.

Rekodkan perubahan di sebelah peraturan yang disokongnya. Tanpa nota itu, pentadbir seterusnya menemui hos dengan sambungan privasi dimatikan dan tanpa penjelasan, lalu menghidupkannya semula semasa pembersihan.