Adresy prywatności IPv6 czy lista dozwolonych RDP: wybierz kompromis

Dostęp do pulpitu zdalnego działał przez miesiąc, a potem lista dozwolonych przestała pasować bez żadnego widocznego powodu. Host się nie przeniósł i niczego w zaporze nie edytowano. Windows nadal tworzy tymczasowe adresy IPv6 z losowymi identyfikatorami interfejsu i wycofuje je, więc adres źródłowy, który serwer widzi danego dnia, może być takim, którego nikt nie wpisał do reguły. Wyłączenie tego zachowania naprawia dopasowanie i jednocześnie czyni hosta długotrwałym identyfikatorem. Rozważ alternatywy, zanim zaakceptujesz drugą połowę.

Dlaczego reguła przestała pasować

RFC 4941 opisuje adresy tymczasowe: host tworzy dodatkowe adresy z losowymi identyfikatorami i wycofuje je, co uniemożliwia obserwatorowi skorelowanie jednego hosta między wizytami. Windows implementuje to zachowanie, więc wczorajszy adres źródłowy nie musi być dzisiejszym. Przewidywalny adres nadal istnieje na interfejsie; po prostu nie jest tym, który preferuje połączenie wychodzące.

Dlatego awaria wygląda na przerywaną, a nie całkowitą. Reguła pasuje przez jakiś czas po utworzeniu adresu, przestaje pasować, gdy zostanie wycofany, i znów zaczyna pasować, gdy ktoś go edytuje. Monitoring grupowany według adresu źródłowego i kontrole licencji oparte na adresie hosta psują się według tego samego harmonogramu. Reguła, która działa zaraz po edycji i zawodzi trzy tygodnie później, to zwykle to, a nie przeładowanie zapory.

Opcja pierwsza: jeden stabilny adres, mniej prywatności

Zwykła naprawa wyłącza oba mechanizmy rotacji na hoście: netsh interface ipv6 set privacy state=disabled store=persistent i netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Dodaj store=active, jeśli chcesz, aby zmiana zadziałała bez czekania na restart, i zaakceptuj, że uczyniłeś identyfikator przewidywalnym w różnych sieciach.

Właśnie tej przewidywalności miały zapobiegać rozszerzenia. Adres, który podąża za hostem z kawiarni do biura i do domu, jest wygodnym kluczem filtrowania i równie wygodnym kluczem śledzenia, a druga właściwość przeżywa zgłoszenie, które poprosiło o pierwszą.

Opcja druga: zezwól na prefiks lub nazwę

Zezwolenie na /64 zamiast pełnego adresu zachowuje rotację nietkniętą i pasuje do słabszego, ale często uczciwego twierdzenia: ta maszyna jest w mojej sieci domowej. Przestaje wystarczać w momencie, gdy ten prefiks zawiera hosty, których byś nie wpuścił, co na łączu konsumenckim jest zwykle mniejszym zbiorem, niż ludzie zakładają. Nazwa publikowana przez dynamiczny DNS jest łatwiejsza w utrzymaniu, bo rekord podąża za hostem, a polityka czyta się jako tożsamość, a nie jako zakres, który rośnie przy każdym dodanym urządzeniu.

Obie opcje wymagają resolvera, któremu serwer może zaufać, i nazwy, której nie da się trywialnie podrobić, więc traktuj je jako decyzję polityczną o tożsamości, a nie kosmetyczną zmianę reguły. Zapisz, który resolver odpowiada na tę nazwę, bo reguła jest tylko tak wiarygodna jak rekord za nią.

Opcja trzecia: pozwól tunelowi przypisać adres

Jeśli połączenie przechodzi przez VPN, który kontrolujesz, serwer może wydać adres ze swojej puli, a lista dozwolonych odwołuje się wtedy do wartości wybieranej przez serwer, a nie do tej, którą preferuje klient. To działa dobrze dla klientów zarządzanych i źle dla wszystkiego, co klient może obejść, więc sprawdź, która strona faktycznie wygrywa we wdrożeniu.

Przeniesienie decyzji całkowicie poza adres, do certyfikatu klienta lub uwierzytelnionej bramy, jest opcją, która się skaluje, bo przestaje zależeć od wartości, którą system operacyjny ma prawo zmienić.

Wybieraj, mając na uwadze koszt śledzenia

Zapisz cztery opcje wobec rzeczywistego wymagania i wybierz jedną zamiast je łączyć. Jeśli mimo to wyłączasz prywatność, ogranicz ją do hosta, który jej potrzebuje, udokumentuj powód obok reguły i rozważ stabilne-prywatne adresowanie z RFC 7217 tam, gdzie platforma je wspiera, bo zachowuje identyfikator na prefiks bez ujawniania tego pochodnego od sprzętu. Gdy lista dozwolonych zostanie zastąpiona, włącz rozszerzenia ponownie.

Zapisz zmianę obok reguły, którą wspiera. Bez tej notatki następny administrator zastaje hosta z wyłączonymi rozszerzeniami prywatności i bez wyjaśnienia, i włącza je ponownie podczas porządków.