IPv6-personvernadresser eller ei RDP-tillatingsliste: vel avveginga

Eksternt skrivebord fungerte i ein månad, og då slutta tillatingslista å stemme utan nokon synleg grunn. Verten hadde ikkje flytta seg, og ingenting i brannmuren var redigert. Windows held fram med å danne mellombelse IPv6-adresser med tilfeldige grensesnittidentifikatorar og trekkje dei tilbake, så kjeldeadressa serveren ser ein gitt dag kan vere ei som ingen har skrive inn i regelen. Slår du av denne åtferda, blir treffet retta, og samstundes blir verten gjort til ein langliva identifikator. Veg alternativa før du godtek den andre halvdelen.

Kvifor regelen slutta å stemme

RFC 4941 skildrar mellombelse adresser: verten opprettar fleire adresser med tilfeldige identifikatorar og trekkjer dei tilbake, noko som hindrar ein observatør i å korrelere éin vert på tvers av besøk. Windows implementerer denne åtferda, så gårsdagens kjeldeadresse er ikkje nødvendigvis dagens. Den føreseielege adressa finst framleis på grensesnittet; ho er berre ikkje den ein utgåande samband føretrekkjer.

Difor ser feilen periodisk ut i staden for total. Regelen stemmer ei stund etter at adressa er oppretta, sluttar å stemme når ho blir trekt tilbake, og byrjar å stemme igjen etter at nokon har redigert henne. Overvaking gruppert etter kjeldeadresse og lisenssjekkar knytte til ei vertsadresse bryt saman etter same tidsplan. Ein regel som verkar rett etter at han er redigert og sviktar tre veker seinare, er vanlegvis dette og ikkje ei omlasting av brannmuren.

Alternativ éin: éi stabil adresse, mindre personvern

Den vanlege reparasjonen slår av begge rotasjonsmekanismane på verten: netsh interface ipv6 set privacy state=disabled store=persistent og netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Legg til store=active om du vil at endringa skal ta til å gjelde utan å vente på omstart, og godta at du no har gjort identifikatoren føreseieleg på tvers av nettverk.

Nettopp den føreseielegheita var det utvidingane vart bygde for å hindre. Ei adresse som følgjer verten frå kafé til kontor og heim, er ein praktisk filternøkkel og ein like praktisk sporingsnøkkel, og den andre eigenskapen overlever billetten som bad om den første.

Alternativ to: tillat eit prefiks eller eit namn

Å tillate /64 i staden for full adresse held rotasjonen intakt og passar med ein svakare, men ofte ærleg påstand: denne maskina er på heimenettet mitt. Det sluttar å vere tilstrekkeleg i det augeblikket prefikset inneheld vertar du ikkje ville sleppe inn, noko som på ei forbrukarlinje vanlegvis er eit mindre sett enn folk antek. Eit namn publisert via dynamisk DNS er enklare å drive, fordi posten følgjer verten, og policyen blir lesen som ein identitet i staden for som eit område som veks kvar gong ei eining blir lagd til.

Båe alternativa treng ein resolver serveren kan stole på og eit namn som ikkje er trivielt forfalskbart, så behandla dei som ei prinsippavgjerd om identitet og ikkje som ei kosmetisk endring av regelen. Skriv ned kva resolver som svarar på det namnet, for regelen er berre så påliteleg som posten bak han.

Alternativ tre: la tunnelen tildele adressa

Går sambandet gjennom ein VPN du kontrollerer, kan serveren dele ut adressa frå sitt eige basseng, og tillatingslista viser då til ein verdi serveren vel i staden for ein klienten føretrekkjer. Det verkar bra for styrte klientar og dårleg for alt klienten kan overstyre, så kontroller kva side som faktisk vinn i utrullinga di.

Å flytte avgjerda heilt bort frå adressa, til eit klientcertifikat eller ein autentisert gateway, er alternativet som skalerer, fordi det sluttar å henge saman med ein verdi operativsystemet har rett til å endre.

Vel med sporingskostnaden i tankane

Skriv dei fire alternativa opp mot det faktiske kravet, og vel eitt i staden for å kombinere dei. Slår du likevel av personvern, avgrens det til verten som treng det, dokumenter grunnen ved sida av regelen, og vurder stabil-personvern-adressering frå RFC 7217 der plattforma støttar det, sidan ho held på ein identifikator per prefiks utan å avsløre den maskinvareavleidde. Slå utvidingane på att når tillatingslista blir erstatta.

Registrer endringa ved sida av regelen ho støttar. Utan den noten finn den neste administratoren ein vert med personvernutvidingar av og inga forklaring, og slår dei på att under ei opprydding.