IPv6 ULA numa VPN: endereçamento privado, não privacidade

Endereços que parecem privados não são privados no sentido que a maioria das pessoas quer dizer, e o endereçamento único local do IPv6 é o caso mais claro. Um prefixo ULA dá a uma VPN um plano interno estável para os recursos por trás dele. Não cifra nada, não autentica um par e não decide a que serviços um cliente pode chegar. Tratar o prefixo como um controlo de segurança é o erro que este artigo pretende eliminar.

O que o prefixo realmente fornece

A RFC 4193 reserva fc00::/7 para uso local, com o bit L a distinguir o espaço atribuído localmente da forma reservada. Na prática, isso significa que o que gera é fd00::/8. A especificação também define como o ID global de 40 bits deve ser derivado, para que sítios independentes não escolham o mesmo prefixo por acidente. Esse espaço foi concebido para ficar fora da internet pública, o que é uma propriedade de encaminhamento e não uma proteção.

Dentro de um sítio, a disposição habitual é um ID global /48 dividido em sub-redes: uma para os clientes do túnel, uma para o lado do servidor e uma para cada LAN remota. Essa estrutura é todo o benefício, e é um benefício de endereçamento. Cada pacote continua a precisar de uma rota e continua a precisar de uma política que o permita.

Confundir o prefixo com um túnel é como um projeto acaba a documentar endereços fd00 e a assumir que o tráfego entre eles está protegido. Não está, a menos que outra coisa faça a proteção.

Porque é que copiar o prefixo do exemplo dói

Todos os tutoriais usam um prefixo fácil de memorizar, e todos os leitores que o copiam herdam o mesmo risco de colisão. Dois sítios que mais tarde se ligam por um túnel de sítio a sítio com intervalos idênticos produzem exatamente a ambiguidade conhecida do espaço privado IPv4 sobreposto. Nenhum dos lados está errado por si só, e a rede combinada não tem forma de saber que destino se quer dizer.

Gerar o ID global segundo o processo documentado leva um minuto e elimina a pergunta. Anote o prefixo, a entrada de geração e a data junto ao plano de endereços.

O risco não é teórico para quem funde redes após uma aquisição ou liga dois laboratórios por uma VPN. Também não é urgente para um único sítio, e é por isso que fica adiado até a fusão já estar planeada.

Âmbito e acesso são questões separadas

ULA não se destina ao endereçamento comum de internet encaminhado globalmente. Isso não torna fiável cada anfitrião que o usa nem torna esses anfitriões inalcançáveis a partir de outras redes privadas ligadas. As firewalls e as permissões das aplicações continuam a decidir o que um par pode usar, e o túnel continua a fornecer a autenticação com que foi configurado.

Uma saída para a internet precisa do seu próprio desenho de saída IPv6. Atribuir um endereço ULA a um cliente não cria acesso a destinos globais arbitrários, e não se deve esperar que um cliente que receba um navegue na internet pública através dele.

Dois sítios com prefixos diferentes continuam a precisar de rotas de retorno para os intervalos um do outro, e ambas as firewalls precisam de regras correspondentes. Nada disso decorre da família de endereços. O que decorre é trabalho de documentação: uma tabela de prefixos e os sistemas autorizados a responder em cada um.

Verifique o plano em ambos os extremos

Confirme que o prefixo aparece onde pensa que aparece e, depois, confirme que um destino é realmente alcançável através dele.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

A listagem de endereços mostra que interface tem que sub-rede, e um cliente que recebeu a errada costuma mostrá-lo aqui. A listagem de rotas mostra se o prefixo remoto tem um caminho pelo túnel em vez de ser descartado. O teste responde à única pergunta que importa: se um pacote faz a viagem de ida e volta.

Repita a verificação após uma reconexão, porque um cliente que mantém o endereço mas perde a rota produz uma ligação que parece ativa e não reencaminha nada. O endereço é a parte fácil, e a rota é o que desaparece. Guarde ambas as saídas junto ao nome do perfil de ligação para que a comparação seguinte comece com provas.