IPv6 ULA in een VPN: privé-adressering, geen privacy

Adressen die privé lijken zijn niet privé in de zin die de meeste mensen bedoelen, en de uniek-lokale adressering van IPv6 is het duidelijkste geval. Een ULA-prefix geeft een VPN een stabiel intern plan voor de resources erachter. Hij versleutelt niets, authenticeert geen peer en bepaalt niet welke diensten een client mag bereiken. De prefix als beveiligingsmaatregel behandelen is de fout die dit artikel wil wegnemen.

Wat de prefix werkelijk biedt

RFC 4193 reserveert fc00::/7 voor lokaal gebruik, waarbij de L-bit lokaal toegewezen ruimte onderscheidt van de gereserveerde vorm. In de praktijk betekent dat u fd00::/8 genereert. De specificatie definieert ook hoe de 40-bits globale ID moet worden afgeleid, zodat onafhankelijke sites niet per ongeluk dezelfde prefix kiezen. Die ruimte is ontworpen om buiten het publieke internet te blijven, wat een routingeigenschap is en geen bescherming.

Binnen een site is de gebruikelijke indeling een /48 globale ID, verdeeld in subnetten: één voor tunnelclients, één voor de serverkant en één voor elk extern LAN. Die structuur is het hele voordeel, en het is een adresseringsvoordeel. Elk pakket heeft nog steeds een route nodig en nog steeds een beleid dat het toestaat.

De prefix met een tunnel verwarren is hoe een ontwerp uiteindelijk fd00-adressen documenteert en aanneemt dat het verkeer ertussen beschermd is. Dat is het niet, tenzij iets anders de bescherming levert.

Waarom het kopiëren van de voorbeeldprefix pijn doet

Elke tutorial gebruikt een gedenkwaardige prefix, en elke lezer die hem kopieert erft hetzelfde botsingsrisico. Twee sites die later via een site-naar-site-tunnel met identieke bereiken worden verbonden, produceren precies de dubbelzinnigheid die bekend is van overlappende privé-IPv4-ruimte. Geen van beide kanten is op zichzelf fout, en het gecombineerde netwerk heeft geen manier om te weten welke bestemming wordt bedoeld.

De globale ID volgens het gedocumenteerde proces genereren kost een minuut en haalt de vraag weg. Noteer de prefix, de generatie-invoer en de datum naast het adresplan.

Het risico is niet theoretisch voor wie na een overname netwerken samenvoegt of twee labs via een VPN verbindt. Het is voor één site ook niet urgent, en daarom wordt het uitgesteld tot de samenvoeging al is gepland.

Bereik en toegang zijn aparte vragen

ULA is niet bedoeld voor gewone wereldwijd gerouteerde internetadressering. Dat maakt niet elke host die het gebruikt vertrouwd, en het maakt die hosts niet onbereikbaar vanaf andere verbonden privénetwerken. Firewalls en applicatierechten beslissen nog steeds wat een peer mag gebruiken, en de tunnel levert nog steeds de authenticatie waarmee hij is geconfigureerd.

Een internetuitgang heeft zijn eigen IPv6-egressontwerp nodig. Een ULA-adres aan een client toewijzen creëert geen toegang tot willekeurige wereldwijde bestemmingen, en van een client die er een krijgt mag niet worden verwacht dat hij daarover het publieke internet doorzoekt.

Twee sites met verschillende prefixen hebben nog steeds retourroutes nodig voor elkaars bereiken, en beide firewalls hebben bijpassende regels nodig. Niets daarvan volgt uit de adresfamilie. Wat volgt is documentatiewerk: een tabel met prefixen en de systemen die op elk daarvan mogen antwoorden.

Controleer het plan aan beide uiteinden

Bevestig dat de prefix verschijnt waar u denkt, en bevestig dan dat een bestemming er echt via bereikbaar is.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

De adressenlijst toont welke interface welk subnet heeft, en een client die de verkeerde kreeg toont dat meestal hier. De routelijst toont of de externe prefix een pad door de tunnel heeft in plaats van te worden weggegooid. De test beantwoordt de enige vraag die telt: of een pakket de heen- en terugreis maakt.

Herhaal de controle na een herverbinding, want een client die zijn adres houdt maar de route verliest levert een verbinding op die actief lijkt en niets doorstuurt. Het adres is het makkelijke deel, en de route is wat verdwijnt. Bewaar beide uitvoer naast de naam van het verbindingsprofiel zodat de volgende vergelijking met bewijs begint.