IPv6 ULA dalam VPN: pengalamatan peribadi, bukan privasi

Alamat yang kelihatan peribadi bukan peribadi dalam erti yang dimaksudkan oleh kebanyakan orang, dan pengalamatan unik setempat IPv6 ialah kes yang paling jelas. Prefiks ULA memberikan VPN pelan dalaman yang stabil untuk sumber di belakangnya. Ia tidak menyulitkan apa-apa, tidak mengesahkan rakan sebaya dan tidak menentukan perkhidmatan yang boleh dicapai oleh klien. Menganggap prefiks sebagai kawalan keselamatan ialah kesilapan yang artikel ini mahu hapuskan.

Apa yang sebenarnya diberikan prefiks

RFC 4193 memperuntukkan fc00::/7 untuk kegunaan setempat, dengan bit L membezakan ruang yang diperuntukkan setempat daripada bentuk simpanan. Dalam amalan, itu bermakna fd00::/8 yang anda jana. Spesifikasi itu juga mentakrifkan cara ID global 40-bit harus diterbitkan, supaya tapak bebas tidak memilih prefiks yang sama secara tidak sengaja. Ruang itu direka untuk kekal di luar internet awam, yang merupakan sifat penghalaan dan bukan perlindungan.

Dalam sesebuah tapak, susun atur biasa ialah ID global /48 yang dibahagikan kepada subnet: satu untuk klien terowong, satu untuk bahagian pelayan dan satu untuk setiap LAN jauh. Struktur itulah keseluruhan manfaatnya, dan ia adalah manfaat pengalamatan. Setiap paket masih memerlukan laluan dan masih memerlukan dasar yang membenarkannya.

Mengelirukan prefiks dengan terowong ialah cara sesuatu reka bentuk akhirnya mendokumentasikan alamat fd00 dan menganggap trafik antaranya dilindungi. Ia tidak, melainkan ada perkara lain yang melakukan perlindungan.

Mengapa menyalin prefiks contoh menyakitkan

Setiap tutorial menggunakan prefiks yang mudah diingat, dan setiap pembaca yang menyalinnya mewarisi risiko perlanggaran yang sama. Dua tapak yang kemudiannya disambungkan melalui terowong tapak-ke-tapak dengan julat yang sama menghasilkan kekaburan yang sama seperti yang dikenali daripada ruang IPv4 peribadi yang bertindih. Tiada pihak yang salah dengan sendirinya, dan rangkaian gabungan tiada cara untuk mengetahui destinasi mana yang dimaksudkan.

Menjana ID global mengikut proses yang didokumenkan mengambil masa seminit dan menghapuskan persoalan itu. Catat prefiks, input penjanaan dan tarikh di sebelah pelan alamat.

Risikonya bukan teori bagi sesiapa yang menggabungkan rangkaian selepas pengambilalihan atau menghubungkan dua makmal melalui VPN. Ia juga tidak mendesak untuk satu tapak, itulah sebabnya ia ditangguhkan sehingga penggabungan sudah dijadualkan.

Skop dan akses ialah soalan berasingan

ULA tidak dimaksudkan untuk pengalamatan internet biasa yang dihalakan secara global. Itu tidak menjadikan setiap hos yang menggunakannya boleh dipercayai dan tidak menjadikan hos itu tidak dapat dicapai dari rangkaian peribadi lain yang bersambung. Firewall dan kebenaran aplikasi masih menentukan apa yang boleh digunakan oleh rakan sebaya, dan terowong masih menyediakan pengesahan yang dengannya ia dikonfigurasikan.

Sebuah jalan keluar internet memerlukan reka bentuk keluar IPv6 sendiri. Memberikan alamat ULA kepada klien tidak mewujudkan akses kepada destinasi global sewenang-wenangnya, dan klien yang menerimanya tidak sepatutnya dijangka melayari internet awam melaluinya.

Dua tapak dengan prefiks berbeza masih memerlukan laluan balik untuk julat masing-masing, dan kedua-dua firewall memerlukan peraturan yang sepadan. Tiada satu pun daripada itu berpunca daripada keluarga alamat. Yang berpunca ialah kerja dokumentasi: jadual prefiks dan sistem yang dibenarkan menjawab pada setiap satu.

Periksa pelan di kedua-dua hujung

Pastikan prefiks muncul di tempat yang anda sangka, kemudian pastikan sesuatu destinasi benar-benar boleh dicapai melaluinya.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Senarai alamat menunjukkan antara muka mana yang mempunyai subnet mana, dan klien yang menerima yang salah biasanya menunjukkannya di sini. Senarai laluan menunjukkan sama ada prefiks jauh mempunyai laluan melalui terowong dan bukannya digugurkan. Ujian itu menjawab satu-satunya soalan yang penting: sama ada paket membuat perjalanan pergi dan balik.

Ulang pemeriksaan selepas menyambung semula, kerana klien yang mengekalkan alamatnya tetapi kehilangan laluan menghasilkan sambungan yang kelihatan hidup dan tidak memajukan apa-apa. Alamat ialah bahagian yang mudah, dan laluan ialah perkara yang hilang. Simpan kedua-dua output di sebelah nama profil sambungan supaya perbandingan seterusnya bermula dengan bukti.