Mga IPv6 Privacy Address o RDP Allowlist: Piliin ang Trade-off

Gumana ang remote desktop access nang isang buwan, at pagkatapos ay tumigil sa pagtutugma ang allowlist nang walang nakikitang dahilan. Hindi gumalaw ang host at walang na-edit sa firewall. Patuloy na gumagawa ang Windows ng mga pansamantalang IPv6 address na may random na interface identifier at binabawi ang mga ito, kaya ang source address na nakikita ng server sa alinmang araw ay maaaring isang hindi isinulat ng sinuman sa tuntunin. Ang pagpatay sa gawi na iyon ay nag-aayos ng pagtutugma at ginagawang pangmatagalang identifier ang host sa parehong oras. Timbangin ang mga alternatibo bago tanggapin ang ikalawang kalahati.

Bakit tumigil sa pagtutugma ang tuntunin

Inilalarawan ng RFC 4941 ang mga pansamantalang address: gumagawa ang host ng karagdagang address na may random na identifier at binabawi ang mga ito, na pumipigil sa isang tagamasid na iugnay ang isang host sa mga pagbisita. Ipinapatupad ng Windows ang gawi na iyon, kaya ang source address kahapon ay hindi kinakailangang siya ngayon. Umiiral pa rin ang mahuhulaang address sa interface; hindi lang ito ang pinipili ng papalabas na koneksyon.

Kaya ang pagkabigo ay mukhang pabagu-bago at hindi ganap. Tumutugma ang tuntunin nang ilang sandali pagkatapos malikha ang address, tumitigil sa pagtutugma kapag ito ay binawi, at nagsisimulang tumugma muli pagkatapos itong i-edit ng isang tao. Ang pagmamanman na pinangkat ayon sa source address at mga pagsusuring lisensya na nakaangkla sa isang host address ay nasisira sa parehong iskedyul. Ang tuntunin na gumagana kaagad pagkatapos i-edit at nabigo pagkalipas ng tatlong linggo ay karaniwang ito, hindi isang muling pag-load ng firewall.

Opsyon isa: isang matatag na address, mas kaunting privacy

Pinapatay ng karaniwang pag-aayos ang dalawang mekanismo ng pag-ikot sa host: netsh interface ipv6 set privacy state=disabled store=persistent at netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Idagdag ang store=active kung gusto mong magkabisa ang pagbabago nang hindi hinihintay ang restart, at tanggapin na ginawa mo nang mahuhulaan ang identifier sa mga network.

Ang mahuhulaan na iyon ay eksaktong layuning pigilan ng mga extension. Ang address na sumusunod sa host mula kapehan patungo sa opisina at bahay ay isang maginhawang filter key at kasing maginhawang tracking key, at ang ikalawang katangian ay nabubuhay nang mas matagal kaysa sa ticket na humingi ng una.

Opsyon dalawa: payagan ang isang prefix o isang pangalan

Ang pagpayag sa /64 sa halip na buong address ay nagpapanatili ng pag-ikot at tumutugma sa isang mahinang ngunit madalas tapat na pahayag: ang makinang ito ay nasa aking home network. Tumitigil itong maging sapat sa sandaling ang prefix na iyon ay naglalaman ng mga host na hindi mo tatanggapin, na sa isang consumer connection ay karaniwang mas maliit na hanay kaysa sa inaakala ng mga tao. Ang isang pangalang inilathala sa dynamic na DNS ay mas madaling patakbuhin, dahil sinusundan ng record ang host at ang patakaran ay binabasa bilang pagkakakilanlan sa halip na bilang saklaw na lumalaki tuwing may idinagdag na device.

Ang dalawang opsyon ay nangangailangan ng resolver na mapagkakatiwalaan ng server at pangalang hindi basta-basta mapeke, kaya ituring silang desisyon sa patakaran tungkol sa pagkakakilanlan at hindi bilang kosmetikong pagbabago sa tuntunin. Isulat kung aling resolver ang sumasagot sa pangalang iyon, dahil ang tuntunin ay kasing mapagkakatiwalaan ng record sa likod nito.

Opsyon tatlo: hayaang italaga ng tunnel ang address

Kung ang koneksyon ay dumadaan sa isang VPN na kinokontrol mo, maaaring ibigay ng server ang address mula sa sarili nitong pool, at ang allowlist ay tumutukoy sa isang halagang pinipili ng server sa halip na isang pinipili ng client. Gumagana ito nang maayos para sa mga pinamamahalaang client at masama para sa anumang kayang lampasan ng client, kaya tiyakin kung aling panig ang aktwal na nananalo sa iyong deployment.

Ang ilipat ang desisyon nang lubusan palayo sa address, patungo sa isang client certificate o isang authenticated gateway, ay ang opsyon na nagsa-scale, dahil tumitigil itong umasa sa isang halagang may karapatan ang operating system na baguhin.

Pumili nang isinasaalang-alang ang gastos sa pagsubaybay

Isulat ang apat na opsyon laban sa aktwal na pangangailangan, at pumili ng isa sa halip na pagsamahin ang mga ito. Kung patayin mo pa rin ang privacy, limitahan ito sa host na nangangailangan, idokumento ang dahilan sa tabi ng tuntunin, at isaalang-alang ang stable-private addressing mula sa RFC 7217 kung saan sinusuportahan ito ng platform, dahil pinapanatili nito ang identifier sa bawat prefix nang hindi inilalantad ang nagmula sa hardware. Muling paganahin ang mga extension kapag napalitan ang allowlist.

Itala ang pagbabago sa tabi ng tuntuning sinusuportahan nito. Kung wala ang tala, mahahanap ng susunod na administrador ang isang host na patay ang privacy extension at walang paliwanag, at bubuksan muli ang mga ito sa isang paglilinis.