Endereços IPv6 não substituem a sua VPN: percorra o trabalho original

Abra a página de status do cliente, veja um endereço IPv6 global, e a tentação é concluir que o túnel se tornou opcional. Essa página mostra um endereço, não uma fronteira de cifra, nem uma tabela de roteamento privada, nem uma decisão de acesso. Uma VPN costuma carregar três trabalhos ao mesmo tempo, e o IPv6 toca apenas o que diz respeito a compartilhar endereços escassos. Percorrer um único serviço do cliente até o ouvinte é a única forma de ver qual trabalho sobrevive à mudança.

Nomeie o trabalho antes de remover a ferramenta

As pessoas dizem «a VPN» quando querem dizer um de três arranjos, e os três falham por motivos diferentes. Alcançar uma aplicação publicada por uma equipe é um problema de acesso a aplicações. Entrar num conjunto definido de redes privadas para que vários locais se alcancem é uma relação de roteamento. Manter uma camada administrativa estável sobre infraestrutura que você não controla por completo é um arranjo de operações com o próprio plano de endereçamento.

O IPv6 remove um obstáculo de compartilhamento de endereços para o primeiro arranjo, e ali faz trabalho real, porque um endereço direto pode substituir um tradutor. Para os outros dois não muda nada, já que o requisito nunca foi escassez de endereços. Anote qual dos três você realmente executa antes de tocar numa configuração.

Um endereço público não é cifra

Um endereço de escopo global diz onde um host é alcançável; não diz nada sobre se o tráfego que chega ali é cifrado ou autenticado. A discussão de segurança da RFC 8504 separa o suporte à implementação de IPsec da escolha mais ampla entre IPsec, TLS, SSH e outras abordagens, e é precisamente a distinção que desaparece quando a alcançabilidade é lida como proteção. Uma pilha que suporta um mecanismo provou apenas que o mecanismo está disponível, nunca que este fluxo passou por ele. Para o IPsec especificamente, a associação negociada e o tráfego que ela seleciona decidem o que é protegido, e uma família de endereços é uma propriedade do pacote, não uma política para ele.

A alcançabilidade é de novo uma questão separada. Um endereço público não faz chegar tráfego não solicitado, porque a rota, o firewall e o ouvinte têm cada um um voto, e remover NAT remove um filtro, não todos. Decida qual desses três o túnel substituía, se algum.

O que a sobreposição ainda fornece

Uma sobreposição continua a ganhar o seu lugar em três situações. Utilizadores remotos podem precisar de um conjunto específico de rotas em vez de uma aplicação, dois locais podem precisar de um acordo privado de alcançabilidade, e operadores podem querer endereçamento que não muda quando o provedor de acesso muda. Nenhuma das três é sobre a escassez de endereços IPv4.

Endereços globais não tornam isso isento de manutenção. Um plano interno arrumado não mantém o extremo externo a responder depois de o provedor o alterar, e a autenticação, a reconexão e as atualizações de nomes continuam a precisar de um responsável. Decida como esses recuperam antes de desligar seja o que for.

Percorra o serviço que se torna público

Comece no host e liste o que está realmente a escutar, porque a aplicação que aprovou raramente é a única coisa na máquina. ss -lntup imprime cada ouvinte TCP e UDP com o seu endereço de ligação e acrescenta o processo proprietário onde os seus privilégios o permitem, o que mostra num relance se uma interface de administração está num endereço curinga ou apenas em loopback. Repita-o como ss -6 -lntup se a sua pilha mantiver os sockets IPv6 separados.

Depois classifique cada linha por audiência. Uma porta de aplicação que traz a sua própria autenticação e segurança de transporte pode estar bem num endereço público, enquanto uma interface administrativa, um endpoint de métricas e uma porta de base de dados normalmente não estão. Uma aplicação aprovada é um juízo sobre essa aplicação apenas, nunca permissão para expor todos os serviços que partilham o host. O endereço de ligação de cada linha diz-lhe se a exposição já existe ou se seria criada pela mudança que planeia.

Dois testes, depois decida o que desligar

Antes de remover uma camada, responda a duas perguntas no papel. Primeira, o requisito precisa de roteamento privado, ou seja, alcançabilidade que um endereço público não implica e o provedor de acesso não oferece? Segunda, precisa de uma fronteira de proteção, ou seja, cifra e autenticação num fluxo que de outro modo atravessaria um caminho não fidedigno em claro? Se ambas as respostas forem não para esse serviço, o túnel é candidato à remoção; se alguma for sim, fica.

Execute o mesmo teste sobre IPv4 e IPv6 separadamente num cliente de pilha dupla, porque o tráfego IPv4 protegido não descreve nada do caminho IPv6. Um endereço IPv6 global numa página de status não é prova de fuga, e a sua ausência não é prova de proteção. Desligue apenas os serviços cujas duas respostas foram escritas e continuam a ser não, e anote no registo de alterações qual pergunta o decidiu.