Adresy súkromia IPv6 alebo zoznam povolených RDP: vyberte kompromis

Prístup k vzdialenej ploche fungoval mesiac, a potom sa zoznam povolených prestal zhodovať bez akéhokoľvek viditeľného dôvodu. Host sa nepresunul a vo firewalle sa nič neupravilo. Windows naďalej vytvára dočasné adresy IPv6 s náhodnými identifikátormi rozhrania a ruší ich, takže zdrojová adresa, ktorú server v daný deň vidí, môže byť taká, ktorú nikto do pravidla nezapísal. Vypnutie tohto správania opraví zhodu a zároveň premení host na dlhodobý identifikátor. Zvážte alternatívy, kým prijmete druhú polovicu.

Prečo sa pravidlo prestalo zhodovať

RFC 4941 opisuje dočasné adresy: host vytvára ďalšie adresy s randomizovanými identifikátormi a ruší ich, čo pozorovateľovi bráni korelovať jeden host naprieč návštevami. Windows toto správanie implementuje, takže včerajšia zdrojová adresa nemusí byť tá dnešná. Predvídateľná adresa na rozhraní stále existuje; jednoducho to nie je tá, ktorej dáva prednosť odchádzajúce spojenie.

Preto porucha vyzerá prerušovane, nie úplne. Pravidlo sa zhoduje nejaký čas po vytvorení adresy, prestane sa zhodovať, keď sa zruší, a znova sa začne zhodovať, keď ju niekto upraví. Monitorovanie zoskupené podľa zdrojovej adresy a licenčné kontroly naviazané na adresu hosta sa lámu podľa rovnakého rozpisu. Pravidlo, ktoré funguje hneď po úprave a zlyhá o tri týždne, je zvyčajne toto, nie opätovné načítanie firewallu.

Možnosť jedna: jedna stabilná adresa, menej súkromia

Zvyčajná oprava vypne oba rotačné mechanizmy na hoste: netsh interface ipv6 set privacy state=disabled store=persistent a netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Pridajte store=active, ak chcete, aby zmena nadobudla účinnosť bez čakania na reštart, a prijmite, že ste identifikátor urobili predvídateľným medzi sieťami.

Práve tejto predvídateľnosti mali rozšírenia zabrániť. Adresa, ktorá nasleduje host z kaviarne do kancelárie a domov, je pohodlný kľúč filtrovania a rovnako pohodlný kľúč sledovania, a druhá vlastnosť prežije tiket, ktorý požiadal o tú prvú.

Možnosť dva: povoľte prefix alebo názov

Povolenie /64 namiesto plnej adresy zachová rotáciu nedotknutú a zodpovedá slabšiemu, ale často čestnému tvrdeniu: tento stroj je v mojej domácej sieti. Prestane to stačiť v momente, keď ten prefix obsahuje hosty, ktoré by ste nepripustili, čo je pri spotrebiteľskom pripojení zvyčajne menšia množina, než ľudia predpokladajú. Názov publikovaný cez dynamický DNS sa prevádzkuje ľahšie, pretože záznam nasleduje host a politika sa číta ako identita, nie ako rozsah, ktorý rastie pri každom pridaní zariadenia.

Obe možnosti potrebujú resolver, ktorému môže server dôverovať, a názov, ktorý nemožno triviálne sfalšovať, takže ich berte ako politické rozhodnutie o identite, nie ako kozmetickú zmenu pravidla. Zapíšte, ktorý resolver odpovedá na ten názov, pretože pravidlo je iba také dôveryhodné, aký dôveryhodný je záznam za ním.

Možnosť tri: nechajte tunel prideliť adresu

Ak spojenie prechádza cez VPN, ktorú ovládate, server môže adresu prideliť zo svojho fondu, a zoznam povolených sa potom odvoláva na hodnotu, ktorú vyberá server, nie na tú, ktorú uprednostňuje klient. To funguje dobre pre spravovaných klientov a zle pre všetko, čo klient môže obísť, preto overte, ktorá strana vo vašom nasadení skutočne vyhráva.

Presun rozhodnutia úplne mimo adresy, na klientsky certifikát alebo autentizovanú bránu, je možnosť, ktorá škáluje, pretože prestáva závisieť od hodnoty, ktorú má operačný systém právo meniť.

Vyberajte s ohľadom na náklady sledovania

Zapíšte štyri možnosti proti skutočnej požiadavke a vyberte jednu namiesto ich kombinovania. Ak súkromie aj tak vypnete, obmedzte ho na host, ktorý ho potrebuje, zdokumentujte dôvod vedľa pravidla a zvážte stabilné-súkromné adresovanie z RFC 7217 tam, kde ho platforma podporuje, pretože zachováva identifikátor na prefix bez odhalenia toho odvodeného z hardvéru. Keď sa zoznam povolených nahradí, rozšírenia znova zapnite.

Zaznamenajte zmenu vedľa pravidla, ktoré podporuje. Bez tej poznámky ďalší správca nájde host s vypnutými rozšíreniami súkromia a bez vysvetlenia a počas upratovania ich znova zapne.