Adresat IPv6 nuk zëvendësojnë VPN-në tuaj: përshkoni punën origjinale

Hapni faqen e statusit të klientit, shihni një adresë globale IPv6, dhe tundimi është të konkludoni se tuneli është bërë opsional. Ajo faqe tregon një adresë, jo një kufi kriptimi, jo një tabelë rrugëtimi privat dhe jo një vendim aksesi. Një VPN zakonisht mban tre punë njëherësh, dhe IPv6 prek vetëm atë për ndarjen e adresave të rralla. Kalimi i një shërbimi të vetëm nga klienti te dëgjuesi është mënyra e vetme për të parë cila punë i mbijeton ndryshimit.

Emërtoni punën përpara se ta hiqni mjetin

Njerëzit thonë „VPN” kur nënkuptojnë një nga tre rregullimet, dhe të treja dështojnë për arsye të ndryshme. Të arrish një aplikacion të publikuar nga një ekip është problem aksesi në aplikacion. T'i bashkohesh një grupi të përcaktuar rrjetesh private që disa site të arrijnë njëri-tjetrin është marrëdhënie rrugëtimi. Të mbash një shtresë administrative të qëndrueshme mbi infrastrukturë që nuk e kontrollon plotësisht është rregullim operativ me planin e vet të adresave.

IPv6 heq një pengesë të ndarjes së adresave për rregullimin e parë, dhe atje bën punë të vërtetë, sepse një adresë e drejtpërdrejtë mund të zëvendësojë një përkthyes. Për dy të tjerët nuk ndryshon asgjë, pasi kërkesa nuk ishte kurrë mungesa e adresave. Shkruani cilin nga të tre po ekzekutoni vërtet përpara se të prekni një konfigurim.

Një adresë publike nuk është kriptim

Një adresë me shtrirje globale ju thotë ku një host është i arritshëm; nuk thotë asgjë nëse trafiku që arrin atje është i kriptuar apo i vërtetuar. Diskutimi i sigurisë i RFC 8504 ndan mbështetjen e zbatimit të IPsec nga zgjedhja më e gjerë midis IPsec, TLS, SSH dhe qasjeve të tjera, dhe pikërisht ai dallim zhduket kur arritshmëria lexohet si mbrojtje. Një stivë që mbështet një mekanizëm ka provuar vetëm se mekanizmi është i disponueshëm, kurrë se ky rrjedhë kaloi nëpër të. Për IPsec veçanërisht, shoqata e negociuar dhe trafiku që ajo zgjedh vendosin çfarë mbrohet, dhe një familje adresash është veti e paketës, jo politikë për të.

Arritshmëria është përsëri një pyetje më vete. Një adresë publike nuk bën që trafiku i pakërkuar të arrijë, sepse rruga, muri i zjarrit dhe dëgjuesi kanë secili nga një votë, dhe heqja e NAT heq një filtër, jo të gjithë. Vendosni cilin nga ata të tre tuneli po zëvendësonte, nëse ndonjë.

Çfarë ofron ende shtresa sipër

Shtresa sipër vazhdon të fitojë vendin e saj në tre situata. Përdoruesit në distancë mund të kenë nevojë për një grup të caktuar rrugësh në vend të një aplikacioni, dy site mund të kenë nevojë për një marrëveshje private arritshmërie, dhe operatorët mund të duan adresim që nuk ndryshon kur ndryshon ofruesi i aksesit. Asnjëra nga të treja nuk ka të bëjë me mungesën e adresave IPv4.

Adresat globale nuk e bëjnë këtë pa mirëmbajtje. Një plan i rregullt i brendshëm nuk e mban pikën fundore të jashtme përgjigjëse pasi ofruesi ta ndryshojë, dhe vërtetimi, rilidhja dhe përditësimet e emrave ende kanë nevojë për një pronar. Vendosni si rikuperohen ato përpara se të fiket diçka.

Përshkoni shërbimin që bëhet publik

Filloni nga hosti dhe renditni çfarë po dëgjon vërtet, sepse aplikacioni që miratuat rrallë është e vetmja gjë në makinë. ss -lntup shtyp çdo dëgjues TCP dhe UDP me adresën e tij të lidhjes dhe shton procesin pronar ku privilegjet tuaja e lejojnë, gjë që tregon me një shikim nëse një ndërfaqe administrimi qëndron në një adresë të përgjithshme apo vetëm në loopback. Përsëriteni si ss -6 -lntup nëse stiva juaj i mban socket-et IPv6 veçmas.

Më pas klasifikoni çdo rresht sipas audiencës. Një port aplikacioni që mban vërtetimin dhe sigurinë e transportit të vet mund të jetë në rregull në një adresë publike, ndërsa një ndërfaqe administrative, një pikë fundore metrikash dhe një port baze të dhënash zakonisht nuk janë. Një aplikacion i miratuar është një gjykim për atë aplikacion vetëm, kurrë leje për të ekspozuar çdo shërbim që ndan hostin. Adresa e lidhjes në çdo rresht ju thotë nëse ekspozimi ekziston tashmë ose do të krijohej nga ndryshimi që po planifikoni.

Dy teste, më pas vendosni çfarë të fikni

Përpara se të hiqni një shtresë, përgjigjuni dy pyetjeve në letër. Së pari, a ka nevojë kërkesa për rrugëtim privat, domethënë arritshmëri që një adresë publike nuk e nënkupton dhe ofruesi i aksesit nuk e ofron? Së dyti, a ka nevojë për një kufi mbrojtjeje, domethënë kriptim dhe vërtetim në një rrjedhë që përndryshe do të kalonte hapur një rrugë jo të besueshme? Nëse të dyja përgjigjet janë jo për atë shërbim, tuneli është kandidat për heqje; nëse ndonjëra është po, ai mbetet.

Ekzekutoni të njëjtin test mbi IPv4 dhe IPv6 veçmas në një klient me stivë të dyfishtë, sepse trafiku i mbrojtur IPv4 nuk thotë asgjë për rrugën IPv6. Një adresë IPv6 globale në një faqe statusi nuk është provë e një rrjedhjeje, dhe mungesa e saj nuk është provë e mbrojtjes. Fikni vetëm shërbimet për të cilat të dyja përgjigjet u shkruan dhe janë ende jo, dhe shënoni në regjistrin e ndryshimeve cila pyetje e vendosi.