IPv6 ULA i en VPN: privat adressering, ikke personvern

Adresser som ser private ut er ikke private i den betydningen de fleste mener, og IPv6s entydige lokale adressering er det tydeligste tilfellet. Et ULA-prefiks gir en VPN en stabil intern plan for ressursene bak den. Det krypterer ingenting, autentiserer ikke en peer og avgjør ikke hvilke tjenester en klient kan nå. Å behandle prefikset som en sikkerhetskontroll er feilen denne artikkelen skal fjerne.

Hva prefikset faktisk gir

RFC 4193 reserverer fc00::/7 til lokal bruk, der L-biten skiller lokalt tildelt plass fra den reserverte formen. I praksis betyr det at det er fd00::/8 du genererer. Spesifikasjonen definerer også hvordan den 40-biters globale ID-en skal utledes, slik at uavhengige nettsteder ikke velger samme prefiks ved et uhell. Det området er laget for å holde seg utenfor det offentlige internettet, noe som er en ruteregenskap og ikke en beskyttelse.

Innenfor et nettsted er den vanlige oppbygningen en /48 global ID delt inn i subnett: ett for tunnelklienter, ett for serversiden og ett for hvert eksterne LAN. Den strukturen er hele fordelen, og det er en adresseringsfordel. Hver pakke trenger fortsatt en rute og trenger fortsatt en politikk som tillater den.

Å forveksle prefikset med en tunnel er hvordan et design ender med å dokumentere fd00-adresser og anta at trafikken mellom dem er beskyttet. Det er den ikke, med mindre noe annet står for beskyttelsen.

Hvorfor det gjør vondt å kopiere eksempelprefikset

Hver veiledning bruker et lett husket prefiks, og hver leser som kopierer det arver den samme kollisjonsrisikoen. To nettsteder som senere kobles sammen via en nettsted-til-nettsted-tunnel med identiske områder, frembringer nøyaktig den tvetydigheten som er kjent fra overlappende private IPv4-områder. Ingen av sidene er feil i seg selv, og det sammenslåtte nettverket har ingen måte å vite hvilken destinasjon som menes.

Å generere den globale ID-en etter den dokumenterte prosessen tar et minutt og fjerner spørsmålet. Noter prefikset, genereringsinndataene og datoen ved siden av adresseplanen.

Risikoen er ikke teoretisk for noen som slår sammen nettverk etter et oppkjøp eller kobler to laboratorier sammen over en VPN. Den er heller ikke presserende for ett enkelt nettsted, og derfor utsettes den til sammenslåingen allerede er planlagt.

Omfang og tilgang er separate spørsmål

ULA er ikke ment for vanlig globalt rutet internettadressering. Det gjør ikke enhver vert som bruker det betrodd, og det gjør ikke disse vertene utilgjengelige fra andre tilkoblede private nettverk. Brannmurer og applikasjonstillatelser avgjør fortsatt hva en peer kan bruke, og tunnelen leverer fortsatt den autentiseringen den ble konfigurert med.

En internettutgang trenger sin egen IPv6-utgangsdesign. Å tildele en ULA-adresse til en klient skaper ikke tilgang til vilkårlige globale destinasjoner, og en klient som får én bør ikke forventes å bla i det offentlige internettet over den.

To nettsteder med ulike prefikser trenger fortsatt returruter for hverandres områder, og begge brannmurene trenger samsvarende regler. Ingenting av dette følger av adressefamilien. Det som følger er dokumentasjonsarbeid: en tabell over prefikser og systemene som har lov til å svare på hvert av dem.

Kontroller planen i begge ender

Bekreft at prefikset vises der du tror det gjør, og bekreft deretter at en destinasjon faktisk er nåbar gjennom det.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Adresselisten viser hvilket grensesnitt som har hvilket subnett, og en klient som fikk feil viser det vanligvis her. Rutelisten viser om det eksterne prefikset har en vei gjennom tunnelen i stedet for å bli droppet. Testen svarer på det eneste spørsmålet som betyr noe: om en pakke tar turen frem og tilbake.

Gjenta kontrollen etter en gjenoppkobling, fordi en klient som beholder adressen men mister ruten gir en forbindelse som ser oppe ut og ikke videresender noe. Adressen er den enkle delen, og ruten er det som forsvinner. Lagre begge utdataene ved siden av navnet på tilkoblingsprofilen slik at neste sammenligning starter med bevis.