IPv6 ULA у VPN-у: приватно адресирање, а не приватност

Адресе које изгледају приватно нису приватне у смислу који већина људи подразумева, а јединствено локално адресирање IPv6 је најјаснији случај. ULA префикс даје VPN-у стабилан унутрашњи план за ресурсе иза њега. Он не шифрује ништа, не аутентификује другу страну и не одлучује којим услугама клијент сме да приступи. Третирање префикса као безбедносне контроле грешка је коју овај чланак треба да уклони.

Шта префикс заправо пружа

RFC 4193 издваја fc00::/7 за локалну употребу, при чему L бит разликује локално додељен простор од резервисаног облика. У пракси то значи да је fd00::/8 оно што генеришете. Спецификација такође дефинише како треба извести 40-битни глобални ID, како независне локације не би случајно изабрале исти префикс. Тај простор је дизајниран да остане изван јавног интернета, што је својство усмеравања, а не заштита.

Унутар локације уобичајен распоред је /48 глобални ID подељен у подмреже: једна за клијенте тунела, једна за страну сервера, једна за сваку удаљену LAN. Та структура је цела корист, и то је корист адресирања. Сваки пакет и даље треба руту и и даље треба политику која га дозвољава.

Мешање префикса са тунелом је начин на који дизајн заврши документујући fd00 адресе и претпостављајући да је саобраћај између њих заштићен. Није, осим ако нешто друго пружа заштиту.

Зашто копирање примера префикса боли

Сваки туторијал користи префикс лак за памћење, а сваки читалац који га копира наслеђује исти ризик од судара. Две локације које се касније повежу тунелом од локације до локације са идентичним опсезима производе управо ону двосмисленост познату из преклапајућег приватног IPv4 простора. Ниједна страна сама по себи није погрешна, а комбинована мрежа нема начина да каже које се одредиште мисли.

Генерисање глобалног ID-а према документованом поступку траје минут и уклања питање. Забележите префикс, улазне податке генерисања и датум поред плана адреса.

Ризик није теоретски за свакога ко спаја мреже након аквизиције или повезује две лабораторије преко VPN-а. Није хитан ни за једну локацију, због чега се одлаже док спајање већ није заказано.

Обим и приступ су одвојена питања

ULA није намењен обичном глобално усмереном интернет адресирању. То не чини сваки хост који га користи поузданим и не чини те хостове недоступним из других повезаних приватних мрежа. Заштитни зидови и дозволе апликација и даље одлучују шта друга страна сме да користи, а тунел и даље пружа ону аутентификацију са којом је конфигурисан.

Интернет излаз треба сопствени дизајн IPv6 излаза. Додељивање ULA адресе клијенту не ствара приступ произвољним глобалним одредиштима, а од клијента који је добије не треба очекивати да преко ње прегледа јавни интернет.

Две локације са различитим префиксима и даље треба повратне руте за опсеге оне друге, а оба заштитна зида треба одговарајућа правила. Ништа од тога не следи из породице адреса. Оно што следи је документациони рад: табела префикса и система којима је дозвољено да одговарају на сваком од њих.

Проверите план на оба краја

Потврдите да се префикс појављује тамо где мислите да се појављује, а затим потврдите да је одредиште стварно доступно преко њега.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Списак адреса показује који интерфејс држи коју подмрежу, а клијент који је добио погрешну то обично показује овде. Списак рута показује има ли удаљени префикс пут кроз тунел уместо да буде одбачен. Тест одговара на једино питање које је важно, а то је да ли пакет направи повратно путовање.

Поновите проверу након поновног повезивања, јер клијент који задржи адресу али изгуби руту ствара везу која изгледа подигнута и ништа не прослеђује. Адреса је лакши део, а рута је оно што нестаје. Сачувајте оба излаза поред назива профила везе како би следеће поређење почело од доказа.