IPv6 adrese ne zamjenjuju vaš VPN: prijeđite izvorni posao

Otvorite statusnu stranicu klijenta, ugledajte globalnu IPv6 adresu i iskušenje je zaključiti da je tunel postao neobavezan. Ta stranica prikazuje adresu, ne granicu šifriranja, ne privatnu tablicu usmjeravanja i ne odluku o pristupu. VPN obično nosi tri posla istovremeno, a IPv6 dira samo onaj o dijeljenju oskudnih adresa. Proći jednu uslugu od klijenta do slušatelja jedini je način da vidite koji posao preživljava promjenu.

Imenujte posao prije nego što uklonite alat

Ljudi kažu „VPN” kad misle na jedan od tri aranžmana, a sva tri padaju iz različitih razloga. Doći do jedne aplikacije koju je objavio jedan tim problem je pristupa aplikaciji. Pridruživanje definiranom skupu privatnih mreža kako bi više lokacija moglo doći jedna do druge je odnos usmjeravanja. Održavanje stabilnog administrativnog sloja nad infrastrukturom koju ne kontrolirate potpuno je operativni aranžman s vlastitim planom adresa.

IPv6 uklanja prepreku dijeljenja adresa za prvi aranžman i tu radi pravi posao, jer izravna adresa može zamijeniti prevoditelja. Za druga dva ne mijenja ništa, jer zahtjev nikada nije bio nestašica adresa. Zapišite koji od tri stvarno pokrećete prije nego što dotaknete konfiguraciju.

Javna adresa nije šifriranje

Adresa globalnog dosega govori vam gdje je host dostupan; ne govori ništa o tome je li promet koji tamo stiže šifriran ili autentificiran. Rasprava o sigurnosti RFC 8504 odvaja podršku za implementaciju IPsec od šireg izbora između IPsec, TLS, SSH i drugih pristupa, a to je upravo razlika koja nestaje kad se dostupnost čita kao zaštita. Složaj koji podržava mehanizam dokazao je samo da je mehanizam dostupan, nikada da je ovaj tok prošao kroz njega. Za IPsec posebno, pregovarana asocijacija i promet koji ona odabire odlučuju što je zaštićeno, a obitelj adresa je svojstvo paketa, ne pravilo za njega.

Dostupnost je opet zasebno pitanje. Javna adresa ne čini da neželjeni promet stigne, jer ruta, vatrozid i slušatelj svaki imaju glas, a uklanjanje NAT-a uklanja jedan filtar, a ne sve. Odlučite koji je od tih triju tunel zamjenjivao, ako ijedan.

Što nadgradnja još pruža

Nadgradnja još zaslužuje svoje mjesto u tri situacije. Udaljeni korisnici mogu trebati određeni skup ruta umjesto jedne aplikacije, dvije lokacije mogu trebati privatni sporazum o dostupnosti, a operateri mogu htjeti adresiranje koje se ne mijenja kad se promijeni davatelj pristupa. Nijedan od tri ne odnosi se na nestašicu IPv4 adresa.

Globalne adrese to ne čine bez održavanja. Uredan unutarnji plan ne drži vanjsku krajnju točku odgovarajućom nakon što je davatelj promijeni, a autentifikacija, ponovno povezivanje i ažuriranja imena još uvijek trebaju vlasnika. Odlučite kako se to oporavlja prije nego što se bilo što isključi.

Prijeđite uslugu koja postaje javna

Počnite na hostu i nabrojite što stvarno sluša, jer aplikacija koju ste odobrili rijetko je jedina stvar na stroju. ss -lntup ispisuje svakog TCP i UDP slušatelja s njegovom adresom vezanja i dodaje proces vlasnika gdje to vaše ovlasti dopuštaju, što na prvi pogled pokazuje sjedi li administrativno sučelje na zamjenskoj adresi ili samo na loopbacku. Ponovite to kao ss -6 -lntup ako vaš složaj drži IPv6 sockete odvojeno.

Zatim razvrstajte svaki redak po publici. Aplikacijski port koji nosi vlastitu autentifikaciju i transportnu sigurnost može biti u redu na javnoj adresi, dok administratorsko sučelje, metrička krajnja točka i port baze podataka obično nisu. Jedna odobrena aplikacija prosudba je o toj aplikaciji samo, nikada dopuštenje da se izloži svaka usluga koja dijeli host. Adresa vezanja u svakom retku govori vam postoji li izloženost već ili bi je stvorila promjena koju planirate.

Dva testa, zatim odlučite što isključiti

Prije nego što uklonite sloj, odgovorite na dva pitanja na papiru. Prvo, treba li zahtjev privatno usmjeravanje, to jest dostupnost koju javna adresa ne podrazumijeva i koju davatelj pristupa ne nudi? Drugo, treba li granicu zaštite, to jest šifriranje i autentifikaciju na toku koji bi inače prešao nepouzdan put otvoreno? Ako su oba odgovora ne za tu uslugu, tunel je kandidat za uklanjanje; ako je ijedan da, ostaje.

Pokrenite isti test na IPv4 i IPv6 odvojeno na klijentu s dvostrukim složajem, jer zaštićeni IPv4 promet ne govori ništa o IPv6 putu. Globalna IPv6 adresa na statusnoj stranici nije dokaz curenja, a njezino odsustvo nije dokaz zaštite. Isključite samo usluge za koje su oba odgovora zapisana i još su ne, i zabilježite u evidenciju promjena koje je pitanje to odlučilo.