IPv6 ULA в VPN: приватная адресация, а не приватность

Адреса, которые выглядят приватными, не являются приватными в том смысле, который имеют в виду большинство людей, и уникальная локальная адресация IPv6 — самый ясный случай. Префикс ULA даёт VPN стабильный внутренний план для ресурсов за ним. Он ничего не шифрует, не аутентифицирует партнёра и не решает, к каким сервисам может обратиться клиент. Отношение к префиксу как к средству безопасности — ошибка, которую эта статья призвана устранить.

Что на самом деле даёт префикс

RFC 4193 выделяет fc00::/7 для локального использования, и бит L отличает локально назначенное пространство от зарезервированной формы. На практике это значит, что вы генерируете fd00::/8. Спецификация также определяет, как должен выводиться 40-битный глобальный ID, чтобы независимые площадки не выбрали один и тот же префикс случайно. Это пространство спроектировано так, чтобы оставаться вне публичного интернета, что является свойством маршрутизации, а не защитой.

Внутри площадки обычная схема — это глобальный ID /48, разделённый на подсети: одна для клиентов туннеля, одна для стороны сервера и одна для каждой удалённой LAN. Эта структура — вся выгода, и это выгода адресации. Каждому пакету по-прежнему нужен маршрут и по-прежнему нужна политика, которая его разрешает.

Путать префикс с туннелем — это путь, которым проект в итоге документирует адреса fd00 и предполагает, что трафик между ними защищён. Это не так, если что-то другое не обеспечивает защиту.

Почему копирование примера префикса больно

Каждое руководство использует запоминающийся префикс, и каждый читатель, который его копирует, наследует тот же риск конфликта. Две площадки, которые позже соединяются через туннель между площадками с одинаковыми диапазонами, создают ровно ту неоднозначность, которая известна по перекрывающимся частным пространствам IPv4. Ни одна сторона сама по себе не ошибается, и объединённая сеть не имеет способа узнать, какой пункт назначения имеется в виду.

Генерация глобального ID по документированной процедуре занимает минуту и снимает вопрос. Запишите префикс, входные данные генерации и дату рядом с планом адресов.

Риск не теоретический для тех, кто объединяет сети после поглощения или соединяет две лаборатории через VPN. Он также не срочный для одной площадки, поэтому его откладывают, пока объединение уже не запланировано.

Область и доступ — разные вопросы

ULA не предназначен для обычной глобально маршрутизируемой интернет-адресации. Это не делает доверенным каждый хост, который его использует, и не делает эти хосты недоступными из других подключённых частных сетей. Брандмауэры и разрешения приложений по-прежнему решают, что может использовать партнёр, а туннель по-прежнему обеспечивает ту аутентификацию, с которой он настроен.

Выходу в интернет нужен собственный дизайн выхода IPv6. Назначение ULA-адреса клиенту не создаёт доступа к произвольным глобальным назначениям, и от клиента, который его получил, не следует ожидать просмотра публичного интернета через него.

Две площадки с разными префиксами по-прежнему нуждаются в обратных маршрутах для диапазонов друг друга, и обоим брандмауэрам нужны согласованные правила. Ничего из этого не следует из семейства адресов. Следует из этого работа по документации: таблица префиксов и систем, которым разрешено отвечать на каждом из них.

Проверьте план на обоих концах

Убедитесь, что префикс появляется там, где вы думаете, а затем убедитесь, что назначение действительно достижимо через него.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Список адресов показывает, какой интерфейс держит какую подсеть, и клиент, получивший не ту, обычно показывает это здесь. Список маршрутов показывает, есть ли у удалённого префикса путь через туннель, а не отбрасывается ли он. Тест отвечает на единственный важный вопрос: совершает ли пакет путь туда и обратно.

Повторите проверку после переподключения, потому что клиент, который сохраняет адрес, но теряет маршрут, создаёт соединение, которое выглядит поднятым и ничего не передаёт. Адрес — простая часть, а маршрут — то, что исчезает. Сохраните оба вывода рядом с именем профиля подключения, чтобы следующее сравнение начиналось с доказательств.