IPv6-adresser erstattar ikkje VPN-en din: gå gjennom den opphavlege jobben

Opne statussida til klienten, sjå ei global IPv6-adresse, og freistinga er å konkludere med at tunnelen har blitt valfri. Den sida viser ei adresse, ikkje ei krypteringsgrense, ikkje ei privat rutetabell og ikkje eit tilgangsvedtak. Ein VPN har vanlegvis tre jobbar samstundes, og IPv6 rører berre den som handlar om å dele knappe adresser. Å gå gjennom éi teneste frå klienten til lyttaren er den einaste måten å sjå kva jobb som overlever endringa.

Namngje jobben før du fjernar verktøyet

Folk seier «VPN» når dei meiner eitt av tre arrangement, og alle tre feilar av ulike grunnar. Å nå éin applikasjon publisert av eitt team er eit applikasjonstilgangsproblem. Å bli med i eit definert sett private nettverk slik at fleire nettstader kan nå kvarandre er eit rutingforhold. Å oppretthalde eit stabilt administrativt overlegg over infrastruktur du ikkje kontrollerer fullt ut er eit driftsarrangement med sin eigen adresseplan.

IPv6 fjernar ei adressedelingshindring for det første arrangementet, og der gjer det reell nytte, fordi ei direkte adresse kan erstatte ein omsetjar. For dei to andre endrar det ingenting, sidan kravet aldri var adressemangel. Skriv ned kva av dei tre du faktisk køyrer før du rører ein konfigurasjon.

Ei offentleg adresse er ikkje kryptering

Ei adresse med globalt omfang fortel deg kvar ein vert kan nåast; ho seier ingenting om korvidt trafikken som kjem dit er kryptert eller autentisert. Sikkerheitsdiskusjonen i RFC 8504 skil støtte for IPsec-implementasjon frå det breiare valet mellom IPsec, TLS, SSH og andre tilnærmingar, og det er nettopp den skillnaden som forsvinn når nåbarheit blir lesen som vern. Ein stabel som støttar ein mekanisme har berre prova at mekanismen er tilgjengeleg, aldri at denne straumen gjekk gjennom han. For IPsec spesielt avgjer den forhandla assosiasjonen og trafikken han vel kva som er verna, og ein adressefamilie er ein eigenskap ved pakken, ikkje ein politikk for han.

Nåbarheit er igjen eit eige spørsmål. Ei offentleg adresse får ikkje ønskt trafikk til å kome, fordi ruta, brannmuren og lyttaren har kvar si stemme, og å fjerne NAT fjernar eitt filter, ikkje alle. Bestem kva av dei tre tunnelen erstatta, om nokon.

Kva overlegget framleis leverer

Eit overlegg fortener framleis plassen sin i tre situasjonar. Fjernbrukarar kan trenge eit bestemt sett med ruter i staden for éin applikasjon, to nettstader kan trenge ein privat nåbarheitsavtale, og operatørar kan ønske adressering som ikkje endrar seg når tilgangsleverandøren endrar seg. Ingen av dei tre handlar om mangelen på IPv4-adresser.

Globale adresser gjer ikkje det vedlikehaldsfritt. Ein ryddig indre plan held ikkje det ytre endepunktet svarvillig etter at leverandøren endrar det, og autentisering, gjenoppkopling og namneoppdateringar treng framleis ein eigar. Bestem korleis dei blir gjenoppretta før noko blir slått av.

Gå gjennom tenesta som blir offentleg

Start ved verten og list opp kva som faktisk lyttar, fordi applikasjonen du godkjende sjeldan er det einaste på maskinen. ss -lntup skriv ut kvar TCP- og UDP-lyttar med bindingsadressa si og legg til eigarprosessen der privilegia dine tillèt det, noko som viser med eit blikk om eit administrasjonsgrensesnitt sit på ei jokeradresse eller berre på loopback. Gjenta det som ss -6 -lntup om stabelen din held IPv6-soklar åtskilde.

Klassifiser deretter kvar linje etter publikum. Ein applikasjonsport som ber si eiga autentisering og transporttryggleik kan vere grei på ei offentleg adresse, medan eit administrasjonsgrensesnitt, eit metrikkendepunkt og ein databaseport vanlegvis ikkje er det. Éin godkjend applikasjon er ei vurdering av den applikasjonen åleine, aldri løyve til å eksponere kvar teneste som deler verten. Bindingsadressa på kvar linje fortel deg om eksponeringa alt finst eller ville bli skapt av endringa du planlegg.

To testar, så bestem kva som skal slåast av

Før du fjernar eit lag, svar på to spørsmål på papir. For det første, treng kravet privat ruting, altså nåbarheit som ei offentleg adresse ikkje inneber og tilgangsleverandøren ikkje tilbyr? For det andre, treng det ei vernande grense, altså kryptering og autentisering på ein straum som elles ville krysse ein ubetrudd bane ope? Om begge svara er nei for den tenesta, er tunnelen ein kandidat for fjerning; om noko av dei er ja, blir han.

Køyr den same testen på IPv4 og IPv6 åtskilt på ein dual-stack-klient, fordi verna IPv4-trafikk ikkje seier noko om IPv6-banen. Ei global IPv6-adresse på ei statusside er ikkje prov på lekkasje, og at ho manglar er ikkje prov på vern. Slå berre av tenestene der begge svara vart skrivne ned og framleis er nei, og noter i endringsloggen kva spørsmål som avgjorde det.