Adresy IPv6 nenahrádzajú váš VPN: prejdite pôvodnú prácu

Otvorte stránku stavu klienta, uvidíte globálnu adresu IPv6 a pokušenie je uzavrieť, že tunel sa stal voliteľným. Tá stránka ukazuje adresu, nie hranicu šifrovania, nie súkromnú smerovaciu tabuľku a nie rozhodnutie o prístupe. VPN zvyčajne nesie tri práce naraz a IPv6 sa dotýka len tej o zdieľaní vzácnych adries. Prejdenie jednej služby od klienta po poslucháča je jediný spôsob, ako vidieť, ktorá práca prežije zmenu.

Pomenujte prácu, skôr než odstránite nástroj

Ľudia hovoria „VPN”, keď majú na mysli jedno z troch usporiadaní, a všetky tri zlyhávajú z rôznych dôvodov. Dostať sa k jednej aplikácii publikovanej jedným tímom je problém prístupu k aplikácii. Pripojiť sa k definovanej množine súkromných sietí, aby sa viaceré lokality navzájom dostali, je smerovací vzťah. Udržiavať stabilnú administratívnu vrstvu nad infraštruktúrou, ktorú plne nekontrolujete, je prevádzkové usporiadanie s vlastným plánom adries.

IPv6 odstraňuje prekážku zdieľania adries pre prvé usporiadanie a tam vykonáva skutočnú prácu, pretože priama adresa môže nahradiť prekladač. Pre ostatné dve nič nemení, keďže požiadavkou nikdy nebol nedostatok adries. Zapíšte, ktoré z troch skutočne prevádzkujete, skôr než sa dotknete konfigurácie.

Verejná adresa nie je šifrovanie

Adresa s globálnym rozsahom hovorí, odkiaľ je hostiteľ dostupný; nehovorí nič o tom, či je prevádzka, ktorá tam prichádza, šifrovaná alebo overená. Diskusia o bezpečnosti v RFC 8504 oddeľuje podporu implementácie IPsec od širšieho výberu medzi IPsec, TLS, SSH a ďalšími prístupmi, a to je presne ten rozdiel, ktorý zmizne, keď sa dosiahnuteľnosť číta ako ochrana. Zásobník podporujúci mechanizmus dokázal len to, že mechanizmus je dostupný, nikdy nie to, že tento tok ním prešiel. Pri IPsec konkrétne vyjednaná asociácia a ňou vybratá prevádzka rozhodujú, čo je chránené, a adresná rodina je vlastnosť paketu, nie pravidlo preň.

Dosiahnuteľnosť je opäť samostatná otázka. Verejná adresa nespôsobí, že príde nevyžiadaná prevádzka, pretože trasa, firewall a poslucháč majú každý jeden hlas a odstránenie NAT odstráni jeden filter, nie všetky. Rozhodnite, ktoré z tých troch tunel nahrádzal, ak vôbec.

Čo prekrytie ešte poskytuje

Prekrytie si stále zaslúži svoje miesto v troch situáciách. Vzdialení používatelia môžu potrebovať určitú množinu trás namiesto jednej aplikácie, dve lokality môžu potrebovať súkromnú dohodu o dosiahnuteľnosti a operátori môžu chcieť adresovanie, ktoré sa nemení, keď sa zmení poskytovateľ prístupu. Žiadne z troch nie je o nedostatku adries IPv4.

Globálne adresy to nerobia bezúdržbovým. Usporiadaný vnútorný plán neudrží vonkajší koncový bod odpovedať po tom, ako ho poskytovateľ zmení, a overovanie, opätovné pripojenie a aktualizácie názvov stále potrebujú vlastníka. Rozhodnite, ako sa tieto obnovia, skôr než sa čokoľvek vypne.

Prejdite službu, ktorá sa stane verejnou

Začnite na hostiteľovi a vypíšte, čo skutočne počúva, pretože aplikácia, ktorú ste schválili, je na stroji zriedka jediná vec. ss -lntup vypíše každého poslucháča TCP a UDP s jeho adresou priradenia a pridá proces vlastníka tam, kde to vaše oprávnenia dovoľujú, čo na prvý pohľad ukáže, či administratívne rozhranie sedí na zástupnej adrese alebo len na loopbacku. Zopakujte to ako ss -6 -lntup, ak váš zásobník drží sockety IPv6 oddelene.

Potom klasifikujte každý riadok podľa publika. Port aplikácie, ktorý nesie vlastné overovanie a bezpečnosť dopravy, môže byť v poriadku na verejnej adrese, kým administratívne rozhranie, koncový bod metrík a port databázy zvyčajne nie sú. Jedna schválená aplikácia je úsudok o tej aplikácii samotnej, nikdy povolenie vystaviť každú službu, ktorá zdieľa hostiteľa. Adresa priradenia na každom riadku vám povie, či expozícia už existuje alebo by ju vytvorila zmena, ktorú plánujete.

Dva testy, potom rozhodnite, čo vypnúť

Pred odstránením vrstvy odpovedzte na dve otázky na papieri. Po prvé, potrebuje požiadavka súkromné smerovanie, teda dosiahnuteľnosť, ktorú verejná adresa neimplikuje a poskytovateľ prístupu neponúka? Po druhé, potrebuje hranicu ochrany, teda šifrovanie a overovanie na toku, ktorý by inak otvorene prekročil nedôveryhodnú cestu? Ak sú obe odpovede pre tú službu nie, tunel je kandidát na odstránenie; ak je niektorá áno, zostáva.

Spustite ten istý test na IPv4 a IPv6 oddelene na klientovi s dvojitým zásobníkom, pretože chránená prevádzka IPv4 nehovorí nič o ceste IPv6. Globálna adresa IPv6 na stránke stavu nie je dôkazom úniku a jej neprítomnosť nie je dôkazom ochrany. Vypnite len tie služby, pre ktoré boli obe odpovede zapísané a stále sú nie, a v zázname zmien poznamenajte, ktorá otázka to rozhodla.