ที่อยู่ IPv6 ไม่ได้แทนที่ VPN ของคุณ: เดินตามงานดั้งเดิม

เปิดหน้าสถานะของไคลเอนต์ เห็นที่อยู่ IPv6 ระดับโลก และสิ่งล่อใจคือการสรุปว่าอุโมงค์กลายเป็นทางเลือกแล้ว หน้านั้นแสดงที่อยู่ ไม่ใช่ขอบเขตการเข้ารหัส ไม่ใช่ตารางเส้นทางส่วนตัว และไม่ใช่การตัดสินใจเรื่องการเข้าถึง VPN มักแบกสามงานพร้อมกัน และ IPv6 แตะเฉพาะงานที่เกี่ยวกับการแบ่งปันที่อยู่ที่หายาก การเดินผ่านบริการหนึ่งจากไคลเอนต์ถึงผู้รับฟังเป็นวิธีเดียวที่จะเห็นว่างานใดอยู่รอดหลังการเปลี่ยนแปลง

ตั้งชื่องานก่อนถอดเครื่องมือ

ผู้คนพูดว่า «VPN» เมื่อหมายถึงหนึ่งในสามรูปแบบ และทั้งสามล้มเหลวด้วยเหตุผลต่างกัน การไปถึงแอปพลิเคชันหนึ่งที่ทีมหนึ่งเผยแพร่คือปัญหาเรื่องการเข้าถึงแอปพลิเคชัน การเข้าร่วมชุดเครือข่ายส่วนตัวที่กำหนดไว้เพื่อให้หลายไซต์เข้าถึงกันได้คือความสัมพันธ์ด้านการกำหนดเส้นทาง การรักษาชั้นบริหารที่มั่นคงเหนือโครงสร้างพื้นฐานที่คุณไม่ได้ควบคุมทั้งหมดคือรูปแบบการดำเนินงานที่มีแผนที่อยู่ของตัวเอง

IPv6 ขจัดอุปสรรคเรื่องการแบ่งปันที่อยู่สำหรับรูปแบบแรก และตรงนั้นมันทำงานจริง เพราะที่อยู่โดยตรงสามารถแทนที่ตัวแปลได้ สำหรับอีกสองรูปแบบไม่เปลี่ยนอะไร เพราะข้อกำหนดไม่เคยเป็นการขาดแคลนที่อยู่ เขียนว่าคุณกำลังรันรูปแบบใดในสามจริง ๆ ก่อนแตะการกำหนดค่า

ที่อยู่สาธารณะไม่ใช่การเข้ารหัส

ที่อยู่ที่มีขอบเขตระดับโลกบอกว่าฮอสต์เข้าถึงได้จากที่ไหน ไม่ได้บอกอะไรเลยว่าทราฟฟิกที่มาถึงที่นั่นถูกเข้ารหัสหรือรับรองตัวตนหรือไม่ การอภิปรายด้านความปลอดภัยของ RFC 8504 แยกการสนับสนุนการใช้งาน IPsec ออกจากทางเลือกที่กว้างกว่าระหว่าง IPsec, TLS, SSH และแนวทางอื่น ๆ และนั่นคือความแตกต่างที่หายไปเมื่ออ่านการเข้าถึงว่าเป็นการป้องกัน สแตกที่รองรับกลไกหนึ่งพิสูจน์เพียงว่ากลไกนั้นมีอยู่ ไม่เคยพิสูจน์ว่ากระแสนี้ผ่านมันไป สำหรับ IPsec โดยเฉพาะ สมาคมที่เจรจาและทราฟฟิกที่มันเลือกเป็นตัวกำหนดว่าอะไรได้รับการป้องกัน และตระกูลที่อยู่เป็นคุณสมบัติของแพ็กเก็ต ไม่ใช่นโยบายสำหรับมัน

การเข้าถึงเป็นคำถามแยกอีกครั้ง ที่อยู่สาธารณะไม่ได้ทำให้ทราฟฟิกที่ไม่ได้รับขอมาถึง เพราะเส้นทาง ไฟร์วอลล์ และผู้รับฟังต่างมีเสียงคนละหนึ่งเสียง และการถอด NAT ออกคือการถอดตัวกรองหนึ่งตัว ไม่ใช่ทั้งหมด ตัดสินว่าอุโมงค์เคยแทนที่ตัวใดในสามตัวนั้น ถ้ามี

สิ่งที่ชั้นทับยังให้อยู่

ชั้นทับยังคงสมควรได้ที่ของมันในสามสถานการณ์ ผู้ใช้ระยะไกลอาจต้องการชุดเส้นทางที่เฉพาะเจาะจงแทนแอปพลิเคชันหนึ่ง สองไซต์อาจต้องการข้อตกลงการเข้าถึงส่วนตัว และผู้ปฏิบัติงานอาจต้องการการกำหนดที่อยู่ที่ไม่เปลี่ยนเมื่อผู้ให้บริการเข้าถึงเปลี่ยน ไม่มีสักข้อที่เกี่ยวกับการขาดแคลนที่อยู่ IPv4

ที่อยู่ระดับโลกไม่ได้ทำให้สิ่งนั้นไม่ต้องบำรุงรักษา แผนภายในที่เป็นระเบียบไม่ได้ทำให้ปลายทางภายนอกตอบสนองต่อไปหลังผู้ให้บริการเปลี่ยนมัน และการรับรองตัวตน การเชื่อมต่อใหม่ และการอัปเดตชื่อยังต้องมีเจ้าของ ตัดสินว่าสิ่งเหล่านั้นฟื้นตัวอย่างไรก่อนปิดอะไรสักอย่าง

เดินผ่านบริการที่กลายเป็นสาธารณะ

เริ่มที่ฮอสต์และระบุว่าอะไรกำลังฟังอยู่จริง เพราะแอปพลิเคชันที่คุณอนุมัติไม่ค่อยเป็นสิ่งเดียวบนเครื่อง ss -lntup พิมพ์ผู้รับฟัง TCP และ UDP ทุกตัวพร้อมที่อยู่ผูก และเพิ่มโปรเซสเจ้าของในที่ที่สิทธิของคุณอนุญาต ซึ่งแสดงให้เห็นในพริบตาว่าอินเทอร์เฟซการบริหารอยู่บนที่อยู่ไวลด์การ์ดหรือเฉพาะบน loopback ทำซ้ำเป็น ss -6 -lntup หากสแตกของคุณเก็บซ็อกเก็ต IPv6 แยกไว้

จากนั้นจำแนกแต่ละบรรทัดตามผู้ชม พอร์ตแอปพลิเคชันที่นำการรับรองตัวตนและความปลอดภัยของการขนส่งของตัวเองมาอาจไม่เป็นไรบนที่อยู่สาธารณะ ขณะที่อินเทอร์เฟซการบริหาร จุดปลายทางเมตริก และพอร์ตฐานข้อมูลมักไม่เป็นเช่นนั้น แอปพลิเคชันที่อนุมัติแล้วหนึ่งรายการเป็นการตัดสินเกี่ยวกับแอปพลิเคชันนั้นเท่านั้น ไม่ใช่การอนุญาตให้เปิดเผยทุกบริการที่ใช้ฮอสต์ร่วมกัน ที่อยู่ผูกในแต่ละบรรทัดบอกคุณว่าการเปิดเผยมีอยู่แล้วหรือจะถูกสร้างโดยการเปลี่ยนแปลงที่คุณวางแผน

สองการทดสอบ แล้วตัดสินว่าจะปิดอะไร

ก่อนถอดชั้นหนึ่งออก ตอบสองคำถามบนกระดาษ ข้อแรก ข้อกำหนดต้องการการกำหนดเส้นทางส่วนตัวหรือไม่ นั่นคือการเข้าถึงที่ที่อยู่สาธารณะไม่ได้สื่อถึงและผู้ให้บริการเข้าถึงไม่ได้เสนอ? ข้อสอง ต้องการขอบเขตการป้องกันหรือไม่ นั่นคือการเข้ารหัสและการรับรองตัวตนบนกระแสที่จะข้ามเส้นทางที่ไม่น่าเชื่อถืออย่างเปิดเผยหากไม่ทำ? หากทั้งสองคำตอบเป็นไม่สำหรับบริการนั้น อุโมงค์เป็นผู้สมัครให้ถอดออก หากข้อใดข้อหนึ่งเป็นใช่ มันอยู่ต่อ

รันการทดสอบเดียวกันบน IPv4 และ IPv6 แยกกันบนไคลเอนต์สองสแตก เพราะทราฟฟิก IPv4 ที่ได้รับการป้องกันไม่ได้บอกอะไรเกี่ยวกับเส้นทาง IPv6 ที่อยู่ IPv6 ระดับโลกในหน้าสถานะไม่ใช่หลักฐานของการรั่วไหล และการขาดหายไปก็ไม่ใช่หลักฐานของการป้องกัน ปิดเฉพาะบริการที่ทั้งสองคำตอบถูกเขียนไว้และยังคงเป็นไม่ และบันทึกในบันทึกการเปลี่ยนแปลงว่าคำถามใดตัดสินเรื่องนั้น