IPv6 ULA ใน VPN: การกำหนดที่อยู่ส่วนตัว ไม่ใช่ความเป็นส่วนตัว

ที่อยู่ที่ดูเป็นส่วนตัวไม่ใช่ส่วนตัวในความหมายที่คนส่วนใหญ่หมายถึง และการกำหนดที่อยู่เฉพาะถิ่นของ IPv6 คือกรณีที่ชัดที่สุด คำนำหน้า ULA ให้ VPN มีแผนภายในที่มั่นคงสำหรับทรัพยากรที่อยู่ข้างหลัง คำนำหน้าไม่ได้เข้ารหัสสิ่งใด ไม่พิสูจน์ตัวตนของคู่สนทนา และไม่ตัดสินว่าลูกค้าเข้าถึงบริการใดได้ การถือว่าคำนำหน้าเป็นการควบคุมความปลอดภัยคือข้อผิดพลาดที่บทความนี้ต้องการขจัด

สิ่งที่คำนำหน้าให้จริง ๆ

RFC 4193 กัน fc00::/7 ไว้สำหรับใช้ในท้องถิ่น โดยบิต L แยกพื้นที่ที่กำหนดในท้องถิ่นออกจากรูปแบบที่สงวนไว้ ในทางปฏิบัติหมายความว่าสิ่งที่คุณสร้างคือ fd00::/8 ข้อกำหนดยังระบุวิธีคำนวณ ID ส่วนกลาง 40 บิต เพื่อให้ไซต์อิสระไม่เลือกคำนำหน้าเดียวกันโดยบังเอิญ พื้นที่นั้นถูกออกแบบให้อยู่นอกอินเทอร์เน็ตสาธารณะ ซึ่งเป็นคุณสมบัติของการกำหนดเส้นทาง ไม่ใช่การป้องกัน

ภายในไซต์เดียว เค้าโครงปกติคือ ID ส่วนกลาง /48 ที่แบ่งเป็นซับเน็ต หนึ่งสำหรับลูกค้าทันเนล หนึ่งสำหรับฝั่งเซิร์ฟเวอร์ และหนึ่งสำหรับ LAN ระยะไกลแต่ละแห่ง โครงสร้างนี้คือประโยชน์ทั้งหมด และเป็นประโยชน์ด้านการกำหนดที่อยู่ ทุกแพ็กเก็ตยังต้องมีเส้นทางและยังต้องมีนโยบายที่อนุญาต

การสับสนคำนำหน้ากับทันเนลคือทางที่การออกแบบลงเอยด้วยการบันทึกที่อยู่ fd00 และสันนิษฐานว่าทราฟฟิกระหว่างกันได้รับการป้องกัน มันไม่ใช่ เว้นแต่มีสิ่งอื่นทำหน้าที่ป้องกัน

ทำไมการคัดลอกคำนำหน้าตัวอย่างจึงเจ็บ

บทช่วยสอนทุกบทใช้คำนำหน้าที่จำง่าย และผู้อ่านทุกคนที่คัดลอกมันย่อมได้รับความเสี่ยงการชนกันแบบเดียวกัน สองไซต์ที่ภายหลังเชื่อมต่อผ่านทันเนลระหว่างไซต์ด้วยช่วงที่เหมือนกันจะสร้างความกำกวมแบบเดียวกับที่รู้จักจากพื้นที่ IPv4 ส่วนตัวที่ทับซ้อนกัน ไม่มีฝ่ายใดผิดโดยลำพัง และเครือข่ายที่รวมกันไม่มีทางรู้ว่าหมายถึงปลายทางใด

การสร้าง ID ส่วนกลางตามกระบวนการที่บันทึกไว้ใช้เวลาหนึ่งนาทีและขจัดคำถามนั้น เขียน คำนำหน้า อินพุตการสร้าง และวันที่ ไว้ข้างแผนที่อยู่

ความเสี่ยงไม่ใช่เชิงทฤษฎีสำหรับผู้ที่รวมเครือข่ายหลังการเข้าซื้อหรือเชื่อมสองห้องปฏิบัติการผ่าน VPN และไม่เร่งด่วนสำหรับไซต์เดียว ด้วยเหตุนี้จึงถูกเลื่อนออกไปจนกว่าการรวมจะถูกกำหนดไว้แล้ว

ขอบเขตและการเข้าถึงเป็นคำถามคนละข้อ

ULA ไม่ได้มีไว้สำหรับการกำหนดที่อยู่อินเทอร์เน็ตทั่วไปที่กำหนดเส้นทางทั่วโลก สิ่งนี้ไม่ได้ทำให้โฮสต์ทุกเครื่องที่ใช้มันน่าเชื่อถือ และไม่ได้ทำให้โฮสต์เหล่านั้นเข้าถึงไม่ได้จากเครือข่ายส่วนตัวอื่นที่เชื่อมต่ออยู่ ไฟร์วอลล์และสิทธิ์ของแอปพลิเคชันยังคงตัดสินว่าคู่สนทนาใช้อะไรได้ และทันเนลยังคงให้การพิสูจน์ตัวตนตามที่กำหนดค่าไว้

ทางออกอินเทอร์เน็ตต้องมีการออกแบบทางออก IPv6 ของตัวเอง การกำหนดที่อยู่ ULA ให้ลูกค้าไม่ได้สร้างการเข้าถึงปลายทางทั่วโลกโดยพลการ และไม่ควรคาดหวังให้ลูกค้าที่ได้รับที่อยู่ดังกล่าวท่องอินเทอร์เน็ตสาธารณะผ่านมัน

สองไซต์ที่มีคำนำหน้าแตกต่างกันยังต้องมีเส้นทางย้อนกลับสำหรับช่วงของกันและกัน และไฟร์วอลล์ทั้งสองต้องมีกฎที่ตรงกัน ไม่มีสิ่งใดในนี้ที่ตามมาจากตระกูลที่อยู่ สิ่งที่ตามมาคืองานเอกสาร ตารางคำนำหน้าและระบบที่ได้รับอนุญาตให้ตอบบนแต่ละคำนำหน้า

ตรวจสอบแผนที่ปลายทั้งสองข้าง

ยืนยันว่าคำนำหน้าปรากฏในที่ที่คุณคิด แล้วยืนยันว่าปลายทางหนึ่งสามารถเข้าถึงได้จริงผ่านมัน

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

รายการที่อยู่แสดงว่าอินเทอร์เฟซใดมีซับเน็ตใด และลูกค้าที่ได้รับอันผิดมักแสดงให้เห็นที่นี่ รายการเส้นทางแสดงว่าคำนำหน้าปลายทางไกลมีเส้นทางผ่านทันเนลหรือถูกทิ้ง การทดสอบตอบคำถามเดียวที่สำคัญ คือแพ็กเก็ตไปกลับได้หรือไม่

ทำการตรวจซ้ำหลังเชื่อมต่อใหม่ เพราะลูกค้าที่เก็บที่อยู่ไว้แต่เสียเส้นทางจะสร้างการเชื่อมต่อที่ดูเหมือนทำงานแต่ไม่ส่งอะไรเลย ที่อยู่เป็นส่วนที่ง่าย และเส้นทางคือสิ่งที่หายไป บันทึกผลลัพธ์ทั้งสองไว้ข้างชื่อโปรไฟล์การเชื่อมต่อ เพื่อให้การเปรียบเทียบครั้งถัดไปเริ่มจากหลักฐาน