IPv6 адресе приватности или RDP листа дозвола: изаберите компромис

Приступ удаљеној радној површини радио је месец дана, а затим је листа дозвола престала да се поклапа без разлога који је ико могао да види. Host се није померио и ништа на firewall-у није уређивано. Windows наставља да ствара привремене IPv6 адресе са насумичним идентификаторима интерфејса и да их повлачи, па адреса извора коју сервер види у било ком дану може бити она коју нико није уписао у правило. Искључивање тог понашања поправља поклапање и истовремено претвара host у дуготрајни идентификатор. Одмерите алтернативе пре него што прихватите другу половину.

Зашто је правило престало да се поклапа

RFC 4941 описује привремене адресе: host ствара додатне адресе са насумичним идентификаторима и повлачи их, што посматрачу онемогућава да повеже један host између посета. Windows примењује то понашање, па јучерашња адреса извора није нужно данашња. Предвидљива адреса и даље постоји на интерфејсу; једноставно није она коју одлазна веза преферира.

Зато квар изгледа испрекидан, а не потпун. Правило се поклапа неко време након што се адреса створи, престаје да се поклапа када се повуче и поново почиње да се поклапа након што га неко уреди. Надзор груписан по адреси извора и провере лиценце везане за адресу host-а падају по истом распореду. Правило које ради одмах након уређивања и падне три седмице касније обично је ово, а не поновно учитавање firewall-а.

Опција један: једна стабилна адреса, мање приватности

Уобичајени поправак искључује оба механизма ротације на host-у: netsh interface ipv6 set privacy state=disabled store=persistent и netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Додајте store=active ако желите да промена ступи на снагу без чекања на рестарт, и прихватите да сте сада учинили идентификатор предвидљивим кроз мреже.

Та предвидљивост је управо оно што су екстензије направљене да спрече. Адреса која прати host од кафића до канцеларије до куће згодан је кључ за филтрирање и једнако згодан кључ за праћење, а друго својство надживљава тикет који је тражио прво.

Опција два: дозволите префикс или име

Дозвољавање /64 уместо пуне адресе чува ротацију нетакнутом и одговара слабијем али често искреном тврђењу: ова машина је на мојој кућној мрежи. То престаје бити довољно у тренутку када тај префикс садржи host-ове које не бисте примили, а на корисничкој вези то је обично мањи скуп него што људи претпостављају. Име објављено кроз динамички DNS лакше је за управљање, јер запис прати host и политика се чита као идентитет, а не као распон који расте кад год се дода уређај.

Обе опције траже resolver коме сервер може да верује и име које није тривијално лажирати, па их третирајте као политичку одлуку о идентитету, а не као козметичку промену правила. Запишите који resolver одговара на то име, јер правило је поуздано само онолико колико је поуздан запис иза њега.

Опција три: пустите тунел да додели адресу

Ако веза пролази кроз VPN који контролишете, сервер може да додели адресу из свог пула, а листа дозвола тада упућује на вредност коју бира сервер, а не на ону коју клијент преферира. То добро функционише за управљане клијенте и лоше за све што клијент може да надјача, па проверите која страна стварно побеђује у вашем распоређивању.

Премештање одлуке потпуно са адресе, на клијентски сертификат или аутентификовани gateway, је опција која се скалира, јер престаје да зависи од вредности коју оперативни систем има право да промени.

Бирајте с обзиром на цену праћења

Запишите четири опције према стварном захтеву и изаберите једну уместо да их комбинујете. Ако ипак искључите приватност, ограничите је на host коме треба, документујте разлог уз правило и размотрите стабилно-приватно адресирање из RFC 7217 тамо где га платформа подржава, јер чува идентификатор по префиксу без откривања оног изведеног из хардвера. Поново омогућите екстензије када листа дозвола буде замењена.

Забележите промену уз правило које подржава. Без те напомене следећи администратор затиче host са искљученим екстензијама приватности и без објашњења, па их поново укључује током чишћења.