Naslovi IPv6 ne nadomestijo vašega VPN: pojdite skozi prvotno delo

Odprite stran stanja odjemalca, zagledajte globalni naslov IPv6 in skušnjava je skleniti, da je tunel postal neobvezen. Ta stran prikazuje naslov, ne meje šifriranja, ne zasebne usmerjevalne tabele in ne odločitve o dostopu. VPN običajno opravlja tri dela hkrati, IPv6 pa se dotakne le tistega o deljenju redkih naslovov. Prehod ene storitve od odjemalca do poslušalca je edini način, da vidite, katero delo preživi spremembo.

Poimenujte delo, preden odstranite orodje

Ljudje rečejo „VPN”, ko mislijo eno od treh ureditev, in vse tri odpovedo iz različnih razlogov. Doseči eno aplikacijo, ki jo objavi ena ekipa, je težava dostopa do aplikacije. Pridružiti se opredeljeni množici zasebnih omrežij, da se več lokacij doseže med seboj, je usmerjevalno razmerje. Vzdrževati stabilno administrativno plast nad infrastrukturo, ki je ne nadzirate popolnoma, je operativna ureditev z lastnim načrtom naslovov.

IPv6 odstrani oviro deljenja naslovov za prvo ureditev in tam opravi resnično delo, ker lahko neposreden naslov nadomesti prevajalnik. Za drugi dve ne spremeni ničesar, saj zahteva nikoli ni bila pomanjkanje naslovov. Zapišite, katero od treh dejansko izvajate, preden se dotaknete konfiguracije.

Javni naslov ni šifriranje

Naslov z globalnim obsegom vam pove, od kod je gostitelj dosegljiv; ne pove ničesar o tem, ali je promet, ki tja prihaja, šifriran ali overjen. Razprava o varnosti v RFC 8504 ločuje podporo izvedbi IPsec od širše izbire med IPsec, TLS, SSH in drugimi pristopi, in prav ta razlika izgine, ko se dosegljivost bere kot zaščita. Sklad, ki podpira mehanizem, je dokazal le, da je mehanizem na voljo, nikoli, da je ta tok šel skozenj. Pri IPsecu posebej pogajana povezava in promet, ki ga izbere, odločata, kaj je zaščiteno, družina naslovov pa je lastnost paketa, ne pravilo zanj.

Dosegljivost je spet ločeno vprašanje. Javni naslov ne povzroči, da pride neželen promet, ker imajo pot, požarni zid in poslušalec vsak po en glas, odstranitev NAT pa odstrani en filter, ne vseh. Odločite, katero od teh treh je tunel nadomeščal, če sploh katero.

Kaj prekrivanje še ponuja

Prekrivanje si še vedno zasluži svoje mesto v treh situacijah. Oddaljeni uporabniki lahko potrebujejo določeno množico poti namesto ene aplikacije, dve lokaciji lahko potrebujeta zasebni dogovor o dosegljivosti, operaterji pa lahko želijo naslavljanje, ki se ne spremeni, ko se spremeni ponudnik dostopa. Nobena od treh ni o pomanjkanju naslovov IPv4.

Globalni naslovi tega ne naredijo brez vzdrževanja. Urejen notranji načrt ne ohrani zunanje končne točke odzivne, potem ko jo ponudnik spremeni, overjanje, ponovna povezava in posodobitve imen pa še vedno potrebujejo lastnika. Odločite, kako se te obnovijo, preden karkoli izklopite.

Pojdite skozi storitev, ki postane javna

Začnite pri gostitelju in naštejte, kaj v resnici posluša, ker je aplikacija, ki ste jo odobrili, na stroju redko edina stvar. ss -lntup izpiše vsakega poslušalca TCP in UDP z njegovim naslovom vezave in doda proces lastnika tam, kjer vaše pravice to dovoljujejo, kar na prvi pogled pokaže, ali upravljalni vmesnik sedi na nadomestnem naslovu ali samo na loopbacku. Ponovite kot ss -6 -lntup, če vaš sklad hrani vtiče IPv6 ločeno.

Nato razvrstite vsako vrstico po občinstvu. Vrata aplikacije, ki nosijo lastno overjanje in varnost prevoza, so lahko v redu na javnem naslovu, medtem ko upravljalni vmesnik, končna točka meritev in vrata podatkovne baze običajno niso. Ena odobrena aplikacija je sodba le o tej aplikaciji, nikoli dovoljenje, da se izpostavi vsaka storitev, ki si deli gostitelja. Naslov vezave v vsaki vrstici vam pove, ali izpostavljenost že obstaja ali bi jo ustvarila sprememba, ki jo načrtujete.

Dva testa, nato odločite, kaj izklopiti

Preden odstranite plast, odgovorite na dve vprašanji na papirju. Prvič, ali zahteva potrebuje zasebno usmerjanje, to je dosegljivost, ki je javni naslov ne implicira in je ponudnik dostopa ne ponuja? Drugič, ali potrebuje mejo zaščite, to je šifriranje in overjanje na toku, ki bi sicer odkrito prečkal nezaupljivo pot? Če sta oba odgovora za to storitev ne, je tunel kandidat za odstranitev; če je kateri koli da, ostane.

Zaženite isti test na IPv4 in IPv6 ločeno na odjemalcu z dvojnim skladom, ker zaščiten promet IPv4 ne pove ničesar o poti IPv6. Globalni naslov IPv6 na strani stanja ni dokaz uhajanja, njegova odsotnost pa ni dokaz zaščite. Izklopite le storitve, za katere sta bila oba odgovora zapisana in so še vedno ne, in v dnevnik sprememb zapišite, katero vprašanje je to odločilo.