IPv6 ULA într-o VPN: adresare privată, nu confidențialitate

Adresele care par private nu sunt private în sensul în care majoritatea oamenilor se gândesc, iar adresarea unică locală a IPv6 este cazul cel mai clar. Un prefix ULA dă unei VPN un plan intern stabil pentru resursele din spatele ei. Nu criptează nimic, nu autentifică un partener și nu decide la ce servicii poate ajunge un client. Tratarea prefixului ca un control de securitate este greșeala pe care acest articol vrea să o elimine.

Ce oferă de fapt prefixul

RFC 4193 rezervă fc00::/7 pentru uz local, iar bitul L distinge spațiul alocat local de forma rezervată. În practică, asta înseamnă că ceea ce generați este fd00::/8. Specificația definește și modul în care trebuie derivat ID-ul global pe 40 de biți, astfel încât siturile independente să nu aleagă din greșeală același prefix. Acel spațiu este proiectat să rămână în afara internetului public, ceea ce este o proprietate de rutare, nu o protecție.

În interiorul unui sit, aranjarea obișnuită este un ID global /48 împărțit în subrețele: una pentru clienții tunelului, una pentru partea de server și una pentru fiecare LAN la distanță. Structura aceea este tot beneficiul și este un beneficiu de adresare. Fiecare pachet are în continuare nevoie de o rută și în continuare de o politică ce îl permite.

Confundarea prefixului cu un tunel este felul în care un proiect ajunge să documenteze adrese fd00 și să presupună că traficul dintre ele este protejat. Nu este, decât dacă altceva asigură protecția.

De ce copierea prefixului din exemplu doare

Fiecare tutorial folosește un prefix ușor de reținut, iar fiecare cititor care îl copiază moștenește același risc de coliziune. Două situri care se conectează mai târziu printr-un tunel sit-la-sit cu intervale identice produc exact ambiguitatea cunoscută din spațiul privat IPv4 suprapus. Niciuna dintre părți nu este greșită în sine, iar rețeaua combinată nu are cum să știe care destinație este vizată.

Generarea ID-ului global după procesul documentat durează un minut și elimină întrebarea. Notați prefixul, intrarea de generare și data lângă planul de adrese.

Riscul nu este teoretic pentru cine fuzionează rețele după o achiziție sau leagă două laboratoare printr-o VPN. Nu este nici urgent pentru un singur sit, motiv pentru care este amânat până când fuziunea este deja planificată.

Aria de aplicare și accesul sunt întrebări separate

ULA nu este destinat adresării obișnuite de internet rutate global. Asta nu face de încredere fiecare gazdă care îl folosește și nu face acele gazde inaccesibile din alte rețele private conectate. Firewallurile și permisiunile aplicațiilor decid în continuare ce poate folosi un partener, iar tunelul oferă în continuare autentificarea cu care a fost configurat.

O ieșire spre internet are nevoie de propriul proiect de ieșire IPv6. Atribuirea unei adrese ULA unui client nu creează acces la destinații globale arbitrare, iar de la un client care primește una nu trebuie să ne așteptăm să navigheze internetul public prin ea.

Două situri cu prefixe diferite au în continuare nevoie de rute de întoarcere pentru intervalele celuilalt, iar ambele firewalluri au nevoie de reguli corespunzătoare. Nimic din toate acestea nu decurge din familia de adrese. Ce decurge este muncă de documentare: un tabel cu prefixe și sistemele cărora li se permite să răspundă pe fiecare.

Verificați planul la ambele capete

Confirmați că prefixul apare unde credeți, apoi confirmați că o destinație este într-adevăr accesibilă prin el.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Lista adreselor arată ce interfață are ce subrețea, iar un client care a primit-o pe cea greșită arată de obicei asta aici. Lista rutelor arată dacă prefixul îndepărtat are o cale prin tunel în loc să fie aruncat. Testul răspunde la singura întrebare care contează: dacă un pachet face drumul dus-întors.

Repetați verificarea după o reconectare, pentru că un client care își păstrează adresa dar pierde ruta produce o conexiune care pare activă și nu transmite nimic. Adresa este partea ușoară, iar ruta este ceea ce dispare. Salvați ambele ieșiri lângă numele profilului de conexiune, ca următoarea comparație să înceapă cu dovezi.