IPv6 ULA v VPN: zasebno naslavljanje, ne zasebnost

Naslovi, ki izgledajo zasebno, niso zasebni v smislu, ki ga ima v mislih večina ljudi, in edinstveno lokalno naslavljanje IPv6 je najjasnejši primer. Prefiks ULA daje VPN stabilen notranji načrt za vire za njim. Ničesar ne šifrira, ne overja partnerja in ne odloča, do katerih storitev lahko stranka dostopa. Obravnavanje prefiksa kot varnostnega nadzora je napaka, ki jo želi ta članek odstraniti.

Kaj prefiks dejansko zagotavlja

RFC 4193 rezervira fc00::/7 za lokalno uporabo, pri čemer bit L loči lokalno dodeljen prostor od rezervirane oblike. V praksi to pomeni, da ustvarite fd00::/8. Specifikacija tudi določa, kako naj se izpelje 40-bitni globalni ID, da neodvisna mesta ne izberejo istega prefiksa po nesreči. Ta prostor je zasnovan tako, da ostane zunaj javnega interneta, kar je lastnost usmerjanja, ne zaščita.

Znotraj mesta je običajna postavitev globalni ID /48, razdeljen na podomrežja: eno za odjemalce tunela, eno za strežniško stran in eno za vsak oddaljeni LAN. Ta struktura je vsa korist in je korist naslavljanja. Vsak paket še vedno potrebuje pot in še vedno potrebuje politiko, ki ga dovoljuje.

Zamenjati prefiks s tunelom je način, kako se zasnova konča z dokumentiranjem naslovov fd00 in predpostavko, da je promet med njimi zaščiten. Ni, razen če zaščito zagotavlja nekaj drugega.

Zakaj kopiranje vzorčnega prefiksa boli

Vsaka vadnica uporablja zapomnljiv prefiks in vsak bralec, ki ga kopira, podeduje enako tveganje kolizije. Dve mesti, ki se pozneje povežeta s tunelom med mestoma z enakimi obsegi, ustvarita natanko tisto dvoumnost, znano iz prekrivajočega se zasebnega prostora IPv4. Nobena stran sama po sebi ni napačna in združeno omrežje ne more vedeti, kateri cilj je mišljen.

Ustvarjanje globalnega ID po dokumentiranem postopku vzame minuto in odpravi vprašanje. Zapišite prefiks, vhodne podatke ustvarjanja in datum ob načrtu naslovov.

Tveganje ni teoretično za nikogar, ki po prevzemu združuje omrežja ali povezuje dva laboratorija prek VPN. Ni nujno niti za eno mesto, zato se odlaga, dokler združitev ni že načrtovana.

Obseg in dostop sta ločeni vprašanji

ULA ni namenjen običajnemu globalno usmerjenemu internetnemu naslavljanju. To ne naredi vsakega gostitelja, ki ga uporablja, zaupanja vrednega in ne naredi teh gostiteljev nedosegljivih iz drugih povezanih zasebnih omrežij. Požarni zidovi in dovoljenja aplikacij še vedno odločajo, kaj lahko partner uporabi, tunel pa še vedno zagotavlja overjanje, s katerim je bil konfiguriran.

Internetni izhod potrebuje svojo zasnovo izhoda IPv6. Dodelitev naslova ULA odjemalcu ne ustvari dostopa do poljubnih globalnih ciljev in od odjemalca, ki ga prejme, ni pričakovati, da bo prek njega brskal po javnem internetu.

Dve mesti z različnimi prefiksi še vedno potrebujeta povratne poti za obsege drug drugega in oba požarna zidova potrebujeta ustrezna pravila. Nič od tega ne izhaja iz družine naslovov. Kar izhaja, je dokumentacijsko delo: tabela prefiksov in sistemov, ki smejo odgovarjati na vsakem od njih.

Preverite načrt na obeh koncih

Potrdite, da se prefiks pojavi tam, kjer mislite, nato pa potrdite, da je cilj res dosegljiv prek njega.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Seznam naslovov pokaže, kateri vmesnik ima katero podomrežje, in odjemalec, ki je prejel napačno, to običajno pokaže tukaj. Seznam poti pokaže, ali ima oddaljeni prefiks pot skozi tunel, namesto da bi bil zavržen. Preizkus odgovori na edino pomembno vprašanje: ali paket opravi pot tja in nazaj.

Preverjanje ponovite po ponovni povezavi, ker odjemalec, ki obdrži naslov, a izgubi pot, ustvari povezavo, ki izgleda aktivna in ničesar ne posreduje. Naslov je lažji del, pot pa je tisto, kar izgine. Shranite oba izhoda ob imenu profila povezave, da se naslednja primerjava začne z dokazi.