IPv6 ULA u VPN-u: privatno adresiranje, a ne privatnost

Adrese koje izgledaju privatno nisu privatne u smislu koji većina ljudi podrazumeva, a jedinstveno-lokalno adresiranje IPv6 je najjasniji slučaj. ULA prefiks daje VPN-u stabilan interni plan za resurse iza njega. On ne šifruje ništa, ne autentifikuje drugu stranu i ne odlučuje kojim uslugama klijent sme da pristupi. Tretiranje prefiksa kao sigurnosne kontrole greška je koju ovaj članak treba da ukloni.

Šta prefiks zapravo pruža

RFC 4193 izdvaja fc00::/7 za lokalnu upotrebu, pri čemu L bit razlikuje lokalno dodeljen prostor od rezervisanog oblika. U praksi to znači da je fd00::/8 ono što generišete. Specifikacija takođe definiše kako treba izvesti 40-bitni globalni ID, kako nezavisne lokacije ne bi slučajno izabrale isti prefiks. Taj prostor je dizajniran da ostane izvan javnog interneta, što je svojstvo usmeravanja, a ne zaštita.

Unutar lokacije uobičajen raspored je /48 globalni ID podeljen u podmreže: jedna za klijente tunela, jedna za serversku stranu, jedna za svaku udaljenu LAN. Ta struktura je cela korist, i to je korist adresiranja. Svaki paket i dalje treba rutu i i dalje treba politiku koja ga dozvoljava.

Mešanje prefiksa sa tunelom je način na koji dizajn završi dokumentujući fd00 adrese i pretpostavljajući da je promet između njih zaštićen. Nije, osim ako nešto drugo pruža zaštitu.

Zašto kopiranje primera prefiksa boli

Svaki tutorijal koristi pamtljiv prefiks, a svaki čitalac koji ga kopira nasleđuje isti rizik kolizije. Dve lokacije koje se kasnije povežu tunelom od lokacije do lokacije sa identičnim rasponima proizvode upravo onu dvosmislenost poznatu iz preklapajućeg privatnog IPv4 prostora. Nijedna strana sama po sebi nije pogrešna, a kombinovana mreža nema načina da kaže koje se odredište misli.

Generisanje globalnog ID-a prema dokumentovanom postupku traje minut i uklanja pitanje. Zabeležite prefiks, ulazne podatke generisanja i datum pored plana adresa.

Rizik nije teoretski za svakoga ko spaja mreže nakon akvizicije ili povezuje dve laboratorije preko VPN-a. Nije hitan ni za jednu lokaciju, zbog čega se odlaže dok spajanje već nije zakazano.

Obim i pristup su odvojena pitanja

ULA nije namenjen običnom globalno usmerenom internetskom adresiranju. To ne čini svakog hosta koji ga koristi pouzdanim i ne čini te hostove nedostupnim iz drugih povezanih privatnih mreža. Vatrozidi i dozvole aplikacija i dalje odlučuju šta druga strana sme da koristi, a tunel i dalje pruža onu autentifikaciju sa kojom je konfigurisan.

Internetski izlaz treba sopstveni dizajn IPv6 izlaza. Dodeljivanje ULA adrese klijentu ne stvara pristup proizvoljnim globalnim odredištima, a od klijenta koji je dobije ne treba očekivati da preko nje pregleda javni internet.

Dve lokacije sa različitim prefiksima i dalje treba povratne rute za raspone one druge, a oba vatrozida treba odgovarajuća pravila. Ništa od toga ne sledi iz porodice adresa. Ono što sledi je dokumentacijski rad: tabela prefiksa i sistema kojima je dozvoljeno da odgovaraju na svakom od njih.

Proverite plan na oba kraja

Potvrdite da se prefiks pojavljuje tamo gde mislite da se pojavljuje, a zatim potvrdite da je odredište stvarno dostupno preko njega.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Popis adresa pokazuje koje sučelje drži koju podmrežu, a klijent koji je dobio pogrešnu to obično pokazuje ovde. Popis ruta pokazuje ima li udaljeni prefiks put kroz tunel umesto da bude odbačen. Test odgovara na jedino pitanje koje je važno, a to je da li paket napravi povratno putovanje.

Ponovite proveru nakon ponovnog povezivanja, jer klijent koji zadrži adresu ali izgubi rutu stvara vezu koja izgleda podignuta i ništa ne prosleđuje. Adresa je laki deo, a ruta je ono što nestaje. Sačuvajte oba izlaza pored naziva profila veze kako bi sledeće poređenje počelo od dokaza.