IPv6 ULA w VPN: adresacja prywatna, nie prywatność

Adresy wyglądające na prywatne nie są prywatne w sensie, który ma na myśli większość ludzi, a unikalna adresacja lokalna IPv6 jest najjaśniejszym przypadkiem. Prefiks ULA daje VPN stabilny plan wewnętrzny dla zasobów za nim. Nie szyfruje niczego, nie uwierzytelnia drugiej strony i nie decyduje, do jakich usług klient może dotrzeć. Traktowanie prefiksu jako kontroli bezpieczeństwa to błąd, który ten artykuł ma usunąć.

Co prefiks faktycznie zapewnia

RFC 4193 rezerwuje fc00::/7 do użytku lokalnego, a bit L odróżnia przestrzeń przypisaną lokalnie od formy zarezerwowanej. W praktyce oznacza to, że generujesz fd00::/8. Specyfikacja określa też, jak należy wyprowadzić 40-bitowy identyfikator globalny, aby niezależne lokacje nie wybrały przypadkiem tego samego prefiksu. Ta przestrzeń jest zaprojektowana tak, by pozostać poza publicznym internetem, co jest właściwością routingu, a nie ochroną.

W obrębie lokacji zwykły układ to /48 identyfikator globalny podzielony na podsieci: jedna dla klientów tunelu, jedna dla strony serwera i jedna dla każdej zdalnej LAN. Ta struktura to cała korzyść i jest to korzyść adresacji. Każdy pakiet nadal potrzebuje trasy i nadal potrzebuje polityki, która go dopuszcza.

Mylenie prefiksu z tunelem to sposób, w jaki projekt kończy na dokumentowaniu adresów fd00 i zakładaniu, że ruch między nimi jest chroniony. Nie jest, chyba że coś innego zapewnia ochronę.

Dlaczego kopiowanie przykładowego prefiksu boli

Każdy samouczek używa łatwego do zapamiętania prefiksu, a każdy czytelnik, który go kopiuje, dziedziczy to samo ryzyko kolizji. Dwie lokacje, które później łączą się tunelem między lokacjami o identycznych zakresach, tworzą dokładnie tę niejednoznaczność znaną z nakładających się prywatnych przestrzeni IPv4. Żadna strona sama w sobie nie jest błędna, a połączona sieć nie ma sposobu, by wiedzieć, o który cel chodzi.

Wygenerowanie identyfikatora globalnego według udokumentowanego procesu zajmuje minutę i usuwa pytanie. Zapisz prefiks, dane wejściowe generowania i datę obok planu adresacji.

Ryzyko nie jest teoretyczne dla każdego, kto po przejęciu łączy sieci lub spina dwa laboratoria przez VPN. Nie jest też pilne dla jednej lokacji, dlatego odkłada się je, dopóki połączenie nie jest już zaplanowane.

Zakres i dostęp to osobne kwestie

ULA nie jest przeznaczona do zwykłej globalnie routowanej adresacji internetowej. To nie czyni zaufanym każdego hosta, który jej używa, i nie czyni tych hostów nieosiągalnymi z innych podłączonych sieci prywatnych. Zapory i uprawnienia aplikacji nadal decydują, czego może użyć druga strona, a tunel nadal zapewnia uwierzytelnienie, z jakim został skonfigurowany.

Wyjście do internetu potrzebuje własnego projektu wyjścia IPv6. Przydzielenie klientowi adresu ULA nie tworzy dostępu do dowolnych celów globalnych, a od klienta, który go otrzyma, nie należy oczekiwać przeglądania publicznego internetu przez niego.

Dwie lokacje z różnymi prefiksami nadal potrzebują tras powrotnych dla zakresów drugiej strony, a obie zapory potrzebują pasujących reguł. Nic z tego nie wynika z rodziny adresów. To, co wynika, to praca dokumentacyjna: tabela prefiksów i systemów, którym wolno odpowiadać na każdym z nich.

Sprawdź plan na obu końcach

Potwierdź, że prefiks pojawia się tam, gdzie sądzisz, a następnie potwierdź, że jakiś cel jest rzeczywiście osiągalny przez niego.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Lista adresów pokazuje, które interfejs ma którą podsieć, a klient, który dostał niewłaściwą, zwykle pokazuje to tutaj. Lista tras pokazuje, czy zdalny prefiks ma ścieżkę przez tunel, zamiast być odrzucany. Test odpowiada na jedyne ważne pytanie: czy pakiet odbywa podróż tam i z powrotem.

Powtórz sprawdzenie po ponownym połączeniu, ponieważ klient, który zachowuje adres, ale traci trasę, tworzy połączenie, które wygląda na aktywne i niczego nie przekazuje. Adres to łatwa część, a trasa to to, co znika. Zapisz oba wyjścia obok nazwy profilu połączenia, aby następne porównanie zaczynało się od dowodów.