Naslovi zasebnosti IPv6 ali seznam dovoljenih RDP: izberite kompromis

Dostop do oddaljenega namizja je deloval mesec dni, nato pa se seznam dovoljenih ni več ujemal brez kakršnega koli vidnega razloga. Gostitelj se ni premaknil in v požarnem zidu ni bilo nič urejeno. Windows še naprej ustvarja začasne naslove IPv6 z naključnimi identifikatorji vmesnika in jih umika, zato je izvorni naslov, ki ga strežnik vidi na določen dan, lahko tak, ki ga nihče ni zapisal v pravilo. Izklop tega vedenja popravi ujemanje in hkrati spremeni gostitelja v dolgoživ identifikator. Pretehtajte možnosti, preden sprejmete drugo polovico.

Zakaj se pravilo ni več ujemalo

RFC 4941 opisuje začasne naslove: gostitelj ustvari dodatne naslove z naključnimi identifikatorji in jih umakne, kar opazovalcu prepreči povezovanje enega gostitelja med obiski. Windows to vedenje izvaja, zato včerajšnji izvorni naslov ni nujno današnji. Predvidljivi naslov še vedno obstaja na vmesniku; le ni tisti, ki mu daje prednost odhodna povezava.

Zato je napaka videti občasna in ne popolna. Pravilo se ujema nekaj časa po tem, ko je naslov ustvarjen, preneha se ujemati, ko je umaknjen, in se spet začne ujemati, ko ga nekdo uredi. Nadzor, združen po izvornem naslovu, in preverjanja licence, vezana na naslov gostitelja, se zlomijo po istem urniku. Pravilo, ki deluje takoj po urejanju in odpove tri tedne pozneje, je običajno to in ne ponovno nalaganje požarnega zidu.

Možnost ena: en stabilen naslov, manj zasebnosti

Običajno popravilo izklopi oba mehanizma vrtenja na gostitelju: netsh interface ipv6 set privacy state=disabled store=persistent in netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Dodajte store=active, če želite, da sprememba začne veljati brez čakanja na ponovni zagon, in sprejmite, da ste identifikator zdaj naredili predvidljiv med omrežji.

Prav tej predvidljivosti naj bi se razširitve izognile. Naslov, ki gostitelja spremlja od kavarne do pisarne in domov, je priročen ključ za filtriranje in enako priročen ključ za sledenje, druga lastnost pa preživi zahtevek, ki je zahteval prvo.

Možnost dve: dovolite predpono ali ime

Dovolitev /64 namesto polnega naslova ohrani vrtenje nedotaknjeno in ustreza šibkejši, a pogosto pošteni trditvi: ta stroj je v mojem domačem omrežju. To preneha zadostovati v trenutku, ko ta predpona vsebuje gostitelje, ki jih ne bi spustili, kar je pri potrošniški povezavi običajno manjša množica, kot ljudje domnevajo. Ime, objavljeno prek dinamičnega DNS, je lažje upravljati, ker zapis sledi gostitelju in se politika bere kot identiteta, ne kot obseg, ki raste ob vsaki dodani napravi.

Obe možnosti potrebujeta razreševalnik, ki mu strežnik lahko zaupa, in ime, ki ga ni mogoče trivialno ponarediti, zato ju obravnavajte kot politično odločitev o identiteti in ne kot kozmetično spremembo pravila. Zapišite, kateri razreševalnik odgovarja na to ime, saj je pravilo le toliko zanesljivo, kolikor je zanesljiv zapis za njim.

Možnost tri: pustite tunelu, da dodeli naslov

Če povezava poteka skozi VPN, ki ga nadzorujete, lahko strežnik naslov dodeli iz svojega bazena, in seznam dovoljenih se nato sklicuje na vrednost, ki jo izbere strežnik, ne na tisto, ki ji daje prednost odjemalec. To dobro deluje za upravljane odjemalce in slabo za vse, kar odjemalec lahko obide, zato preverite, katera stran v vaši namestitvi dejansko zmaga.

Prestavitev odločitve povsem z naslova, na odjemalski certifikat ali overjena vrata, je možnost, ki se skalira, ker preneha biti odvisna od vrednosti, ki jo operacijski sistem sme spremeniti.

Izberite z mislijo na stroške sledenja

Zapišite štiri možnosti proti dejanski zahtevi in izberite eno, namesto da jih kombinirate. Če zasebnost vseeno izklopite, jo omejite na gostitelja, ki jo potrebuje, dokumentirajte razlog ob pravilu in razmislite o stabilno-zasebnem naslavljanju iz RFC 7217 tam, kjer ga platforma podpira, saj ohrani identifikator na predpono, ne da bi razkril tistega, izpeljanega iz strojne opreme. Ko bo seznam dovoljenih zamenjan, znova omogočite razširitve.

Zabeležite spremembo ob pravilu, ki jo podpira. Brez te opombe naslednji skrbnik najde gostitelja z izklopljenimi razširitvami zasebnosti in brez razlage ter jih med čiščenjem znova vklopi.