Adresy IPv6 nie zastępują Twojego VPN: przejdź pierwotną pracę

Otwórz stronę stanu klienta, zobacz globalny adres IPv6, a pokusa każe wyciągnąć wniosek, że tunel stał się opcjonalny. Ta strona pokazuje adres, nie granicę szyfrowania, nie prywatną tablicę trasowania i nie decyzję o dostępie. VPN zwykle wykonuje trzy prace naraz, a IPv6 dotyka tylko tej dotyczącej dzielenia rzadkich adresów. Przejście jednej usługi od klienta do odbiorcy to jedyny sposób, by zobaczyć, która praca przetrwa zmianę.

Nazwij pracę, zanim usuniesz narzędzie

Ludzie mówią „VPN”, gdy mają na myśli jeden z trzech układów, a wszystkie trzy zawodzą z różnych powodów. Dotarcie do jednej aplikacji opublikowanej przez jeden zespół to problem dostępu do aplikacji. Dołączenie do zdefiniowanego zbioru sieci prywatnych, aby kilka lokalizacji mogło się wzajemnie osiągnąć, to relacja trasowania. Utrzymywanie stabilnej warstwy administracyjnej nad infrastrukturą, której nie kontrolujesz w pełni, to układ operacyjny z własnym planem adresów.

IPv6 usuwa przeszkodę w dzieleniu adresów dla pierwszego układu i tam wykonuje prawdziwą pracę, ponieważ bezpośredni adres może zastąpić tłumacza. Dla pozostałych dwóch nie zmienia niczego, bo wymaganiem nigdy nie był brak adresów. Zapisz, który z trzech naprawdę uruchamiasz, zanim dotkniesz konfiguracji.

Publiczny adres nie jest szyfrowaniem

Adres o zasięgu globalnym mówi, skąd host jest osiągalny; nie mówi nic o tym, czy ruch tam docierający jest szyfrowany lub uwierzytelniany. Dyskusja o bezpieczeństwie w RFC 8504 oddziela wsparcie implementacji IPsec od szerszego wyboru między IPsec, TLS, SSH i innymi podejściami, i to jest dokładnie ta różnica, która znika, gdy osiągalność czyta się jako ochronę. Stos obsługujący mechanizm dowiódł tylko, że mechanizm jest dostępny, nigdy tego, że ten przepływ przez niego przeszedł. W przypadku IPsec wynegocjowane skojarzenie i ruch, który ono wybiera, decydują, co jest chronione, a rodzina adresów jest właściwością pakietu, nie polityką dla niego.

Osiągalność to znowu osobne pytanie. Publiczny adres nie sprawia, że przychodzi niechciany ruch, bo trasa, zapora i odbiorca mają po jednym głosie, a usunięcie NAT usuwa jeden filtr, nie wszystkie. Zdecyduj, który z tych trzech zastępował tunel, jeśli w ogóle.

Co nadal daje nakładka

Nakładka nadal zasługuje na swoje miejsce w trzech sytuacjach. Zdalni użytkownicy mogą potrzebować określonego zestawu tras, a nie jednej aplikacji, dwie lokalizacje mogą potrzebować prywatnego porozumienia o osiągalności, a operatorzy mogą chcieć adresowania, które nie zmienia się, gdy zmienia się dostawca dostępu. Żaden z trzech nie dotyczy niedoboru adresów IPv4.

Globalne adresy nie czynią tego bezobsługowym. Schludny plan wewnętrzny nie utrzymuje zewnętrznego punktu końcowego odpowiadającym po tym, jak dostawca go zmieni, a uwierzytelnianie, ponowne połączenie i aktualizacje nazw nadal potrzebują właściciela. Zdecyduj, jak to się odbuduje, zanim cokolwiek zostanie wyłączone.

Przejdź usługę, która staje się publiczna

Zacznij od hosta i wypisz, co naprawdę nasłuchuje, bo zatwierdzona aplikacja rzadko jest jedyną rzeczą na maszynie. ss -lntup wypisuje każdego słuchacza TCP i UDP wraz z jego adresem powiązania i dodaje proces właściciela tam, gdzie pozwalają na to Twoje uprawnienia, co pokazuje na pierwszy rzut oka, czy interfejs administracyjny siedzi na adresie wieloznacznym, czy tylko na loopback. Powtórz to jako ss -6 -lntup, jeśli Twój stos trzyma gniazda IPv6 osobno.

Następnie sklasyfikuj każdą linię według odbiorców. Port aplikacji niosący własne uwierzytelnianie i bezpieczeństwo transportu może być w porządku na publicznym adresie, podczas gdy interfejs administracyjny, punkt końcowy metryk i port bazy danych zwykle nie są. Jedna zatwierdzona aplikacja to osąd tylko o tej aplikacji, nigdy pozwolenie na wystawienie każdej usługi dzielącej hosta. Adres powiązania w każdej linii mówi, czy ekspozycja już istnieje, czy powstałaby przez planowaną zmianę.

Dwa testy, potem zdecyduj, co wyłączyć

Przed usunięciem warstwy odpowiedz na dwa pytania na papierze. Po pierwsze, czy wymaganie potrzebuje prywatnego trasowania, czyli osiągalności, której publiczny adres nie implikuje i której dostawca dostępu nie oferuje? Po drugie, czy potrzebuje granicy ochrony, czyli szyfrowania i uwierzytelniania na przepływie, który inaczej przekroczyłby niezaufaną ścieżkę otwarcie? Jeśli obie odpowiedzi brzmią nie dla tej usługi, tunel jest kandydatem do usunięcia; jeśli którakolwiek brzmi tak, zostaje.

Uruchom ten sam test na IPv4 i IPv6 osobno na kliencie dwustosowym, bo chroniony ruch IPv4 nic nie mówi o ścieżce IPv6. Globalny adres IPv6 na stronie stanu nie jest dowodem wycieku, a jego brak nie jest dowodem ochrony. Wyłącz tylko te usługi, dla których oba odpowiedzi zapisano i nadal brzmią nie, i zanotuj w rejestrze zmian, które pytanie to rozstrzygnęło.