IPv6-adresser erstatter ikke VPN-en din: gå gjennom den opprinnelige jobben

Åpne statussiden til klienten, se en global IPv6-adresse, og fristelsen er å konkludere med at tunnelen har blitt valgfri. Den siden viser en adresse, ikke en krypteringsgrense, ikke en privat rutetabell og ikke en tilgangsbeslutning. En VPN har vanligvis tre jobber samtidig, og IPv6 berører bare den som handler om å dele knappe adresser. Å gå gjennom én tjeneste fra klienten til lytteren er den eneste måten å se hvilken jobb som overlever endringen.

Navngi jobben før du fjerner verktøyet

Folk sier «VPN» når de mener ett av tre arrangementer, og alle tre feiler av ulike grunner. Å nå én applikasjon publisert av ett team er et applikasjonstilgangsproblem. Å bli med i et definert sett private nettverk slik at flere nettsteder kan nå hverandre er et rutingforhold. Å opprettholde et stabilt administrativt overlegg over infrastruktur du ikke kontrollerer fullt ut er et driftsarrangement med sin egen adresseplan.

IPv6 fjerner en adressedelingshindring for det første arrangementet, og der gjør det reell nytte, fordi en direkte adresse kan erstatte en oversetter. For de to andre endrer det ingenting, siden kravet aldri var adressemangel. Skriv ned hvilket av de tre du faktisk kjører før du berører en konfigurasjon.

En offentlig adresse er ikke kryptering

En adresse med globalt omfang forteller deg hvor en vert kan nås; den sier ingenting om hvorvidt trafikken som ankommer der er kryptert eller autentisert. Sikkerhetsdiskusjonen i RFC 8504 skiller støtte for IPsec-implementasjon fra det bredere valget mellom IPsec, TLS, SSH og andre tilnærminger, og det er nettopp den forskjellen som forsvinner når nåbarhet leses som beskyttelse. En stabel som støtter en mekanisme har bare bevist at mekanismen er tilgjengelig, aldri at denne strømmen gikk gjennom den. For IPsec spesielt avgjør den forhandlede assosiasjonen og trafikken den velger hva som beskyttes, og en adressefamilie er en egenskap ved pakken, ikke en policy for den.

Nåbarhet er igjen et eget spørsmål. En offentlig adresse får ikke uønsket trafikk til å ankomme, fordi ruten, brannmuren og lytteren har hver sin stemme, og å fjerne NAT fjerner ett filter, ikke alle. Bestem hvilken av de tre tunnelen erstattet, hvis noen.

Hva overlegget fortsatt leverer

Et overlegg fortjener fortsatt plassen sin i tre situasjoner. Fjernbrukere kan trenge et bestemt sett med ruter i stedet for én applikasjon, to nettsteder kan trenge en privat nåbarhetsavtale, og operatører kan ønske adressering som ikke endres når tilgangsleverandøren endres. Ingen av de tre handler om mangelen på IPv4-adresser.

Globale adresser gjør ikke det vedlikeholdsfritt. En ryddig indre plan holder ikke det ytre endepunktet svarvillig etter at leverandøren endrer det, og autentisering, gjenoppkobling og navneoppdateringer trenger fortsatt en eier. Bestem hvordan de gjenopprettes før noe slås av.

Gå gjennom tjenesten som blir offentlig

Start ved verten og list opp hva som faktisk lytter, fordi applikasjonen du godkjente sjelden er det eneste på maskinen. ss -lntup skriver ut hver TCP- og UDP-lytter med bindingsadressen sin og legger til eierprosessen der privilegiene dine tillater det, noe som viser med ett blikk om et administrasjonsgrensesnitt sitter på en jokeradresse eller bare på loopback. Gjenta det som ss -6 -lntup hvis stabelen din holder IPv6-sokler atskilt.

Klassifiser deretter hver linje etter publikum. En applikasjonsport som bærer sin egen autentisering og transportsikkerhet kan være grei på en offentlig adresse, mens et administrasjonsgrensesnitt, et metrikkendepunkt og en databaseport vanligvis ikke er det. Én godkjent applikasjon er en vurdering av den applikasjonen alene, aldri tillatelse til å eksponere hver tjeneste som deler verten. Bindingsadressen på hver linje forteller deg om eksponeringen allerede finnes eller ville bli skapt av endringen du planlegger.

To tester, så bestem deg for hva som skal slås av

Før du fjerner et lag, svar på to spørsmål på papir. For det første, trenger kravet privat ruting, altså nåbarhet som en offentlig adresse ikke innebærer og tilgangsleverandøren ikke tilbyr? For det andre, trenger det en beskyttelsesgrense, altså kryptering og autentisering på en strøm som ellers ville krysse en ubetrodd bane åpent? Hvis begge svarene er nei for den tjenesten, er tunnelen en kandidat for fjerning; hvis noen av dem er ja, blir den.

Kjør den samme testen på IPv4 og IPv6 separat på en dual-stack-klient, fordi beskyttet IPv4-trafikk ikke sier noe om IPv6-banen. En global IPv6-adresse på en statusside er ikke bevis på lekkasje, og at den mangler er ikke bevis på beskyttelse. Slå bare av tjenestene der begge svarene ble skrevet ned og fortsatt er nei, og noter i endringsloggen hvilket spørsmål som avgjorde det.