IPv6 адресе не замењују ваш VPN: прођите кроз изворни посао

Отворите страницу стања клијента, угледајте глобалну IPv6 адресу и искушење је да закључите да је тунел постао опционалан. Та страница приказује адресу, не границу шифровања, не приватну табелу рутирања и не одлуку о приступу. VPN обично носи три посла истовремено, а IPv6 дотиче само онај о дељењу оскудних адреса. Проћи једну услугу од клијента до слушаоца једини је начин да видите који посао преживљава промену.

Назовите посао пре него што уклоните алат

Људи кажу „VPN” када мисле на један од три аранжмана, а сва три падају из различитих разлога. Доћи до једне апликације коју је објавио један тим проблем је приступа апликацији. Придруживање дефинисаном скупу приватних мрежа како би више локација могло да дође једна до друге је однос рутирања. Одржавање стабилног административног слоја над инфраструктуром коју не контролишете потпуно је оперативни аранжман са сопственим планом адреса.

IPv6 уклања препреку дељења адреса за први аранжман и ту ради прави посао, јер директна адреса може да замени преводиоца. За друга два не мења ништа, јер захтев никада није био несташица адреса. Запишите који од три стварно покрећете пре него што дотакнете конфигурацију.

Јавна адреса није шифровање

Адреса глобалног домета говори вам где је хост достижан; не говори ништа о томе да ли је саобраћај који тамо стиже шифрован или аутентификован. Расправа о безбедности у RFC 8504 одваја подршку за имплементацију IPsec од ширег избора између IPsec, TLS, SSH и других приступа, и управо та разлика нестаје када се достижност чита као заштита. Стек који подржава механизам доказао је само да је механизам доступан, никада да је овај ток прошао кроз њега. За IPsec посебно, уговорена асоцијација и саобраћај који она одабира одлучују шта је заштићено, а породица адреса је својство пакета, не политика за њега.

Достижност је опет засебно питање. Јавна адреса не чини да нежељени саобраћај стигне, јер рута, заштитни зид и слушалац имају по један глас, а уклањање NAT-а уклања један филтер, не све. Одлучите који је од та три тунел замењивао, ако иједан.

Шта надградња још пружа

Надградња још заслужује своје место у три ситуације. Удаљени корисници могу да траже одређени скуп рута уместо једне апликације, две локације могу да траже приватни споразум о достижности, а оператери могу да желе адресирање које се не мења када се промени давалац приступа. Ниједан од три није о несташици IPv4 адреса.

Глобалне адресе то не чине без одржавања. Уредан унутрашњи план не држи спољну крајњу тачку одговорном након што је давалац промени, а аутентификација, поновно повезивање и ажурирања имена и даље траже власника. Одлучите како се то опоравља пре него што се било шта искључи.

Прођите услугу која постаје јавна

Почните од хоста и набројте шта заиста слуша, јер апликација коју сте одобрили ретко је једина ствар на машини. ss -lntup исписује сваког TCP и UDP слушаоца са његовом адресом везивања и додаје процес власника где то ваше овлашћења допуштају, што на први поглед показује да ли административно сучеље седи на заменској адреси или само на loopback-у. Поновите то као ss -6 -lntup ако ваш стек држи IPv6 сокете одвојено.

Затим разврстајте сваки ред по публици. Апликациони порт који носи сопствену аутентификацију и безбедност транспорта може бити у реду на јавној адреси, док административно сучеље, крајња тачка метрика и порт базе података обично нису. Једна одобрена апликација је суд о тој апликацији само, никада дозвола да се изложи свака услуга која дели хост. Адреса везивања у сваком реду говори вам да ли изложеност већ постоји или би је створила промена коју планирате.

Два теста, затим одлучите шта искључити

Пре него што уклоните слој, одговорите на два питања на папиру. Прво, да ли захтев тражи приватно рутирање, то јест достижност коју јавна адреса не подразумева и давалац приступа не нуди? Друго, да ли му је потребна граница заштите, то јест шифровање и аутентификација на току који би иначе отворено прешао непоуздан пут? Ако су оба одговора не за ту услугу, тунел је кандидат за уклањање; ако је било који да, остаје.

Покрените исти тест на IPv4 и IPv6 одвојено на клијенту са двоструким стеком, јер заштићени IPv4 саобраћај не говори ништа о IPv6 путу. Глобална IPv6 адреса на страници стања није доказ цурења, а њено одсуство није доказ заштите. Искључите само услуге за које су оба одговора записана и још су не, и забележите у евиденцији промена које је питање то одлучило.