IPv6 ULA vo VPN: privátne adresovanie, nie súkromie

Adresy, ktoré vyzerajú súkromne, nie sú súkromné v zmysle, ktorý má na mysli väčšina ľudí, a jedinečné lokálne adresovanie IPv6 je najjasnejší prípad. Prefix ULA dáva VPN stabilný vnútorný plán pre prostriedky za ním. Nič nešifruje, neautentifikuje protistranu a nerozhoduje, ku ktorým službám sa klient smie dostať. Považovať prefix za bezpečnostnú kontrolu je chyba, ktorú má tento článok odstrániť.

Čo prefix skutočne poskytuje

RFC 4193 vyčleňuje fc00::/7 na miestne použitie, pričom bit L odlišuje lokálne pridelený priestor od rezervovanej formy. V praxi to znamená, že generujete fd00::/8. Špecifikácia tiež definuje, ako sa má odvodiť 40-bitový globálny ID, aby nezávislé lokality omylom nezvolili rovnaký prefix. Tento priestor je navrhnutý tak, aby zostal mimo verejného internetu, čo je vlastnosť smerovania, nie ochrana.

V rámci jednej lokality je obvyklé usporiadanie globálny ID /48 rozdelený na podsiete: jedna pre klientov tunela, jedna pre stranu servera a jedna pre každú vzdialenú LAN. Táto štruktúra je celý prínos a je to prínos adresovania. Každý paket stále potrebuje trasu a stále potrebuje politiku, ktorá ho povoľuje.

Zameniť prefix s tunelom je spôsob, akým návrh skončí tým, že zdokumentuje adresy fd00 a predpokladá, že prevádzka medzi nimi je chránená. Nie je, ak ochranu neposkytuje niečo iné.

Prečo kopírovanie ukážkového prefixu bolí

Každý návod používa zapamätateľný prefix a každý čitateľ, ktorý ho skopíruje, zdedí rovnaké riziko kolízie. Dve lokality, ktoré sa neskôr spoja tunelom medzi lokalitami s rovnakými rozsahmi, vytvoria presne tú nejednoznačnosť známu z prekrývajúceho sa súkromného priestoru IPv4. Ani jedna strana nie je sama o sebe nesprávna a spojená sieť nemá ako zistiť, ktoré cieľové miesto sa myslí.

Vygenerovanie globálneho ID podľa dokumentovaného postupu zaberie minútu a otázku odstráni. Zaznamenajte prefix, vstupné údaje generovania a dátum vedľa plánu adries.

Riziko nie je teoretické pre nikoho, kto po akvizícii spája siete alebo prepája dve laboratóriá cez VPN. Nie je naliehavé ani pre jednu lokalitu, a preto sa odkladá, kým nie je zlúčenie už naplánované.

Rozsah a prístup sú oddelené otázky

ULA nie je určené na bežné globálne smerované internetové adresovanie. Nečiní to každý host, ktorý ho používa, dôveryhodným a nečiní to tieto hosty nedostupnými z iných pripojených súkromných sietí. Firewally a oprávnenia aplikácií stále rozhodujú, čo smie protistrana použiť, a tunel stále poskytuje to overovanie, s ktorým bol nakonfigurovaný.

Internetový odchod potrebuje vlastný návrh odchodu IPv6. Priradenie adresy ULA klientovi nevytvára prístup k ľubovoľným globálnym cieľom a od klienta, ktorý ju dostane, sa nemá očakávať, že cez ňu bude prehliadať verejný internet.

Dve lokality s rôznymi prefixmi stále potrebujú spätné trasy pre rozsahy tej druhej a oba firewally potrebujú zodpovedajúce pravidlá. Nič z toho nevyplýva z rodiny adries. Čo vyplýva, je dokumentačná práca: tabuľka prefixov a systémov, ktoré smú na každom z nich odpovedať.

Overte plán na oboch koncoch

Overte, že sa prefix objavuje tam, kde si myslíte, a potom overte, že cieľ je skutočne dosiahnuteľný cez neho.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Výpis adries ukazuje, ktoré rozhranie drží ktorú podsiete, a klient, ktorý dostal nesprávnu, to zvyčajne ukáže tu. Výpis trás ukazuje, či má vzdialený prefix cestu tunelom namiesto toho, aby bol zahodený. Test odpovedá na jedinú dôležitú otázku: či paket absolvuje cestu tam a späť.

Kontrolu zopakujte po opätovnom pripojení, pretože klient, ktorý si ponechá adresu, ale stratí trasu, vytvorí spojenie, ktoré vyzerá ako nadviazané a nič neprenáša. Adresa je tá ľahká časť a trasa je to, čo mizne. Uložte oba výstupy vedľa názvu profilu pripojenia, aby ďalšie porovnanie začínalo od dôkazov.