IPv6 ULA në një VPN: adresim privat, jo privatësi

Adresat që duken private nuk janë private në kuptimin që ka në mendje shumica e njerëzve, dhe adresimi unik lokal i IPv6 është rasti më i qartë. Një prefiks ULA i jep një VPN një plan të brendshëm të qëndrueshëm për burimet prapa tij. Ai nuk kripton asgjë, nuk vërteton një palë dhe nuk vendos se cilat shërbime mund të arrijë një klient. Trajtimi i prefiksit si kontrolle sigurie është gabimi që ky artikull synon të heqë.

Çfarë ofron në të vërtetë prefiksi

RFC 4193 rezervon fc00::/7 për përdorim lokal, ku biti L dallon hapësirën e caktuar lokalisht nga forma e rezervuar. Në praktikë kjo do të thotë që ju gjeneroni fd00::/8. Specifikimi përcakton gjithashtu si duhet të nxirret ID-ja globale 40-bitëshe, në mënyrë që faqet e pavarura të mos zgjedhin aksidentalisht të njëjtin prefiks. Ajo hapësirë është projektuar të qëndrojë jashtë internetit publik, gjë që është veti e rrugëtimit dhe jo mbrojtje.

Brenda një faqeje, rregullimi i zakonshëm është një ID globale /48 e ndarë në nënrrjeta: një për klientët e tunelit, një për anën e serverit dhe një për çdo LAN të largët. Ajo strukturë është e gjithë përfitimi, dhe është përfitim adresimi. Çdo paketë ende ka nevojë për një rrugë dhe ende ka nevojë për një politikë që e lejon.

Ngatërrimi i prefiksit me një tunel është mënyra se si një projekt përfundon duke dokumentuar adresa fd00 dhe duke supozuar se trafiku mes tyre është i mbrojtur. Nuk është, përveç nëse diçka tjetër ofron mbrojtjen.

Pse kopjimi i prefiksit të shembullit dhemb

Çdo tutorial përdor një prefiks të lehtë për t'u mbajtur mend, dhe çdo lexues që e kopjon trashëgon të njëjtin rrezik përplasjeje. Dy faqe që më vonë lidhen përmes një tuneli faqe-më-faqe me interval identikë prodhojnë pikërisht paqartësinë e njohur nga hapësira private IPv4 që mbivendoset. Asnjëra palë nuk është e gabuar në vetvete, dhe rrjeti i kombinuar nuk ka asnjë mënyrë për të ditur cili destinacion nënkuptohet.

Gjenerimi i ID-së globale sipas procesit të dokumentuar merr një minutë dhe e heq pyetjen. Shënoni prefiksin, inputin e gjenerimit dhe datën pranë planit të adresave.

Rreziku nuk është teorik për këdo që bashkon rrjete pas një blerjeje ose lidh dy laboratorë përmes një VPN. Nuk është as urgjent për një faqe të vetme, dhe për këtë arsye shtyhet derisa bashkimi të jetë planifikuar.

Shtrirja dhe aksesi janë pyetje të ndara

ULA nuk është menduar për adresimin e zakonshëm të internetit të rrugëtuar globalisht. Kjo nuk e bën të besueshëm çdo host që e përdor dhe nuk i bën ata host-e të paarritshëm nga rrjete të tjera private të lidhura. Firewall-et dhe lejet e aplikacioneve ende vendosin çfarë mund të përdorë një palë, dhe tuneli ende ofron vërtetimin me të cilin është konfiguruar.

Një dalje interneti ka nevojë për dizajnin e vet të daljes IPv6. Caktimi i një adrese ULA një klienti nuk krijon akses në destinacione globale arbitrare, dhe nga një klient që merr një të tillë nuk duhet pritur të shfletojë internetin publik përmes saj.

Dy faqe me prefikse të ndryshme ende kanë nevojë për rrugë kthimi për intervalet e njëra-tjetrës, dhe të dy firewall-et kanë nevojë për rregulla që përputhen. Asgjë nga kjo nuk rrjedh nga familja e adresave. Ajo që rrjedh është punë dokumentimi: një tabelë prefiksesh dhe sistemet që lejohen të përgjigjen në secilin prej tyre.

Kontrolloni planin në të dy skajet

Konfirmoni se prefiksi shfaqet aty ku mendoni, pastaj konfirmoni se një destinacion është vërtet i arritshëm përmes tij.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Lista e adresave tregon cila ndërfaqe mban cilën nënrrjetë, dhe një klient që mori të gabuarën zakonisht e tregon këtu. Lista e rrugëve tregon nëse prefiksi i largët ka një shteg përmes tunelit në vend që të hidhet. Testi përgjigjet pyetjes së vetme që ka rëndësi: nëse një paketë bën udhëtimin atje dhe kthim.

Përsëritni kontrollin pas një rilidhjeje, sepse një klient që mban adresën por humbet rrugën prodhon një lidhje që duket lart dhe nuk përcjell asgjë. Adresa është pjesa e lehtë, dhe rruga është ajo që zhduket. Ruani të dyja daljet pranë emrit të profilit të lidhjes, që krahasimi i ardhshëm të nisë nga provat.