IPv6 ULA i ein VPN: privat adressering, ikkje personvern

Adresser som ser private ut er ikkje private i den tydinga dei fleste meiner, og den eintydige lokale adresseringa til IPv6 er det tydelegaste tilfellet. Eit ULA-prefiks gjev ein VPN ein stabil intern plan for ressursane bak han. Det krypterer ingenting, autentiserer ikkje ein peer og avgjer ikkje kva tenester ein klient kan nå. Å handsame prefikset som ein tryggleikskontroll er feilen denne artikkelen skal fjerne.

Kva prefikset faktisk gjev

RFC 4193 reserverer fc00::/7 til lokal bruk, der L-biten skil lokalt tildelt plass frå den reserverte forma. I praksis tyder det at det er fd00::/8 du genererer. Spesifikasjonen definerer òg korleis den 40-bitars globale ID-en skal leiast ut, slik at uavhengige nettstader ikkje vel same prefiks ved eit uhell. Det området er laga for å halde seg utanfor det offentlege internettet, noko som er ein rutareigenskap og ikkje ei vern.

Innanfor ein nettstad er den vanlege oppbygginga ein /48 global ID delt inn i subnett: eitt for tunnelklientar, eitt for serversida og eitt for kvart eksterne LAN. Den strukturen er heile fordelen, og det er ein adresseringsfordel. Kvar pakke treng framleis ei rute og treng framleis ein politikk som tillèt ho.

Å forveksle prefikset med ein tunnel er korleis eit design endar med å dokumentere fd00-adresser og gå ut frå at trafikken mellom dei er verna. Det er han ikkje, med mindre noko anna står for vernet.

Kvifor det gjer vondt å kopiere døme-prefikset

Kvar rettleiding brukar eit lett hugsa prefiks, og kvar lesar som kopierer det arvar den same kollisjonsrisikoen. To nettstader som seinare vert kopla saman via ein nettstad-til-nettstad-tunnel med identiske område, framkallar nøyaktig den tvitydigheita som er kjend frå overlappande private IPv4-område. Ingen av sidene er feil i seg sjølv, og det samanslåtte nettverket har ingen måte å vite kva destinasjon som er meint.

Å generere den globale ID-en etter den dokumenterte prosessen tek eitt minutt og fjernar spørsmålet. Noter prefikset, genereringsinndataa og datoen ved sida av adresseplanen.

Risikoen er ikkje teoretisk for nokon som slår saman nettverk etter eit oppkjøp eller koplar to laboratorium saman over ein VPN. Han er heller ikkje presserande for ein einaste nettstad, og difor vert han utsett til samanslåinga alt er planlagd.

Omfang og tilgang er separate spørsmål

ULA er ikkje meint for vanleg globalt ruta internettadressering. Det gjer ikkje kvar vert som brukar det tiltrudd, og det gjer ikkje desse vertane utilgjengelege frå andre tilkopla private nettverk. Brannmurar og applikasjonstilgangar avgjer framleis kva ein peer kan bruke, og tunnelen leverer framleis den autentiseringa han vart konfigurert med.

Ein internettutgang treng sitt eige IPv6-utgangsdesign. Å tildele ein ULA-adresse til ein klient skapar ikkje tilgang til vilkårlege globale destinasjonar, og ein klient som får éin bør ikkje forventast å bla i det offentlege internettet over han.

To nettstader med ulike prefiks treng framleis returruter for kvar sine område, og båe brannmurane treng samsvarande reglar. Ingenting av dette følgjer av adressefamilien. Det som følgjer er dokumentasjonsarbeid: ein tabell over prefiks og systema som har lov til å svare på kvart av dei.

Kontroller planen i båe endar

Stadfest at prefikset viser seg der du trur det gjer, og stadfest deretter at ein destinasjon faktisk er nåbar gjennom det.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Adresselista viser kva grensesnitt som har kva subnett, og ein klient som fekk feil viser det vanlegvis her. Rutelista viser om det eksterne prefikset har ein veg gjennom tunnelen i staden for å verte droppa. Testen svarar på det einaste spørsmålet som tel: om ein pakke tek turen fram og tilbake.

Gjenta kontrollen etter ein gjenoppkopling, fordi ein klient som held på adressa men mistar ruta gjev ei tilkopling som ser oppe ut og ikkje videresender noko. Adressa er den enkle delen, og ruta er det som forsvinn. Lagre båe utdata ved sida av namnet på tilkoplingsprofilen slik at neste samanlikning startar med bevis.