Adresele IPv6 nu înlocuiesc VPN-ul: parcurge treaba inițială

Deschide pagina de stare a clientului, vezi o adresă IPv6 globală și ispita este să concluzionezi că tunelul a devenit opțional. Acea pagină arată o adresă, nu o graniță de criptare, nu un tabel de rutare privat și nu o decizie de acces. Un VPN duce de obicei trei treburi deodată, iar IPv6 atinge doar pe cea despre partajarea adreselor rare. Parcurgerea unui singur serviciu de la client până la ascultător este singura cale de a vedea ce treabă supraviețuiește schimbării.

Numește treaba înainte de a scoate unealta

Oamenii spun „VPN” când se referă la una din trei aranjamente, iar toate trei eșuează din motive diferite. A ajunge la o aplicație publicată de o singură echipă este o problemă de acces la aplicații. A te alătura unui set definit de rețele private ca mai multe locații să se poată atinge este o relație de rutare. A menține un strat administrativ stabil peste infrastructură pe care nu o controlezi complet este un aranjament operațional cu propriul plan de adrese.

IPv6 înlătură un obstacol de partajare a adreselor pentru primul aranjament, iar acolo face treabă reală, fiindcă o adresă directă poate înlocui un traducător. Pentru celelalte două nu schimbă nimic, fiindcă cerința nu a fost niciodată lipsa adreselor. Notează care dintre cele trei rulează efectiv înainte de a atinge o configurație.

O adresă publică nu este criptare

O adresă cu scop global îți spune unde poate fi atins un gazdă; nu spune nimic despre dacă traficul care ajunge acolo este criptat sau autentificat. Discuția despre securitate din RFC 8504 separă sprijinul pentru implementarea IPsec de alegerea mai largă între IPsec, TLS, SSH și alte abordări, și exact acea distincție dispare când accesibilitatea este citită ca protecție. O stivă care sprijină un mecanism a dovedit doar că mecanismul este disponibil, niciodată că acest flux a trecut prin el. Pentru IPsec în special, asocierea negociată și traficul pe care îl selectează decid ce este protejat, iar o familie de adrese este o proprietate a pachetului, nu o politică pentru el.

Accesibilitatea este din nou o întrebare separată. O adresă publică nu face traficul nesolicitat să ajungă, fiindcă ruta, paravanul și ascultătorul au fiecare câte un vot, iar scoaterea NAT scoate un filtru, nu toate. Decide care dintre cele trei era înlocuit de tunel, dacă vreunul.

Ce mai oferă suprapunerea

O suprapunere își câștigă în continuare locul în trei situații. Utilizatorii la distanță pot avea nevoie de un set anume de rute în loc de o aplicație, două locații pot avea nevoie de un acord privat de accesibilitate, iar operatorii pot dori adresare care nu se schimbă când se schimbă furnizorul de acces. Niciuna dintre cele trei nu este despre lipsa adreselor IPv4.

Adresele globale nu fac asta fără întreținere. Un plan intern curat nu ține capătul exterior răspunzând după ce furnizorul îl schimbă, iar autentificarea, reconectarea și actualizările de nume au încă nevoie de un proprietar. Decide cum se refac acestea înainte de a opri ceva.

Parcurge serviciul care devine public

Începe de la gazdă și listează ce ascultă cu adevărat, fiindcă aplicația pe care ai aprobat-o este rareori singurul lucru de pe mașină. ss -lntup tipărește fiecare ascultător TCP și UDP cu adresa lui de legare și adaugă procesul proprietar unde privilegiile tale permit, ceea ce arată dintr-o privire dacă o interfață de administrare stă pe o adresă wildcard sau doar pe loopback. Repetă ca ss -6 -lntup dacă stiva ta ține socketurile IPv6 separat.

Apoi clasifică fiecare linie după public. Un port de aplicație care are propria autentificare și securitate de transport poate fi în regulă pe o adresă publică, în timp ce o interfață administrativă, un punct final de metrici și un port de bază de date de obicei nu sunt. O singură aplicație aprobată este o judecată despre acea aplicație, niciodată permisiunea de a expune fiecare serviciu care împarte gazda. Adresa de legare de pe fiecare linie îți spune dacă expunerea există deja sau ar fi creată de schimbarea pe care o planifici.

Două teste, apoi decide ce oprești

Înainte de a scoate un strat, răspunde la două întrebări pe hârtie. Prima, are cerința nevoie de rutare privată, adică accesibilitate pe care o adresă publică nu o implică și furnizorul de acces nu o oferă? A doua, are nevoie de o graniță de protecție, adică criptare și autentificare pe un flux care altfel ar traversa deschis o cale neîncrezătoare? Dacă ambele răspunsuri sunt nu pentru acel serviciu, tunelul este candidat la scoatere; dacă vreunul este da, rămâne.

Rulează același test pe IPv4 și IPv6 separat pe un client cu stivă dublă, fiindcă traficul IPv4 protejat nu spune nimic despre calea IPv6. O adresă IPv6 globală într-o pagină de stare nu este dovadă a unei scurgeri, iar absența ei nu este dovadă a protecției. Oprește doar serviciile pentru care ambele răspunsuri au fost notate și sunt încă nu, și notează în jurnalul de modificări care întrebare a decis.