IPv6 ULA sa isang VPN: pribadong pag-address, hindi privacy

Ang mga address na mukhang pribado ay hindi pribado sa kahulugang tinutukoy ng karamihan, at ang natatanging lokal na pag-address ng IPv6 ang pinakamalinaw na kaso. Ang prefix na ULA ay nagbibigay sa isang VPN ng matatag na panloob na plano para sa mga mapagkukunang nasa likod nito. Hindi ito nag-encrypt ng anuman, hindi nagpapatunay ng kapares at hindi nagpapasya kung aling mga serbisyo ang maaaring maabot ng isang kliyente. Ang pagtrato sa prefix bilang kontrol sa seguridad ang pagkakamaling layuning alisin ng artikulong ito.

Ano ang tunay na ibinibigay ng prefix

RFC 4193 ay naglalaan ng fc00::/7 para sa lokal na paggamit, at ang bit L ang naghihiwalay sa lokal na itinalagang espasyo mula sa nakareserbang anyo. Sa pagsasagawa, nangangahulugan ito na ang binubuo mo ay fd00::/8. Tinutukoy din ng ispesipikasyon kung paano dapat makuha ang 40-bit na pandaigdigang ID, upang ang mga malayang site ay hindi aksidenteng pumili ng parehong prefix. Ang espasyong iyon ay dinisenyo upang manatili sa labas ng pampublikong internet, na isang katangian ng routing at hindi proteksyon.

Sa loob ng isang site, ang karaniwang layout ay isang /48 pandaigdigang ID na hinati sa mga subnet: isa para sa mga kliyente ng tunnel, isa para sa panig ng server at isa para sa bawat malayong LAN. Ang istrukturang iyon ang buong benepisyo, at ito ay benepisyo ng pag-address. Ang bawat packet ay kailangan pa rin ng ruta at kailangan pa rin ng patakarang nagpapahintulot dito.

Ang pagkalito sa prefix at tunnel ang paraan kung saan ang isang disenyo ay nauuwi sa pagdodokumento ng mga address na fd00 at pag-akalang protektado ang trapiko sa pagitan ng mga ito. Hindi ito protektado, maliban kung may ibang gumagawa ng proteksyon.

Bakit masakit ang kopyahin ang halimbawang prefix

Gumagamit ang bawat tutorial ng madaling tandaan na prefix, at ang bawat mambabasang kumokopya nito ay nagmamana ng parehong panganib ng banggaan. Ang dalawang site na kalaunan ay konektado sa pamamagitan ng site-to-site tunnel na may magkatulad na saklaw ay gumagawa ng eksaktong kalabuan na kilala mula sa magkapatong na pribadong espasyo ng IPv4. Walang panig na mali sa sarili nito, at ang pinagsamang network ay walang paraan upang malaman kung aling destinasyon ang tinutukoy.

Ang pagbuo ng pandaigdigang ID ayon sa dokumentadong proseso ay tumatagal ng isang minuto at inaalis ang tanong. Itala ang prefix, input ng pagbuo at petsa sa tabi ng plano ng address.

Ang panganib ay hindi teoretikal para sa sinumang nagsasama ng mga network pagkatapos ng pagkuha o nag-uugnay ng dalawang laboratoryo sa pamamagitan ng VPN. Hindi rin ito apurahan para sa isang site, kaya't ipinagpapaliban ito hanggang sa naka-iskedyul na ang pagsasama.

Hiwalay na tanong ang saklaw at pag-access

Ang ULA ay hindi para sa karaniwang pandaigdigang niruruta na pag-address sa internet. Hindi nito ginagawang mapagkakatiwalaan ang bawat host na gumagamit nito at hindi nito ginagawang hindi maabot ang mga host na iyon mula sa ibang konektadong pribadong network. Nagpapasya pa rin ang mga firewall at pahintulot ng aplikasyon kung ano ang maaaring gamitin ng kapares, at ibinibigay pa rin ng tunnel ang pagpapatunay na itinakda rito.

Kailangan ng isang labasan sa internet ng sarili nitong disenyo ng labasan ng IPv6. Ang pagbibigay ng address na ULA sa isang kliyente ay hindi lumilikha ng pag-access sa di-makatwirang pandaigdigang destinasyon, at hindi dapat asahan na ang kliyenteng tumatanggap ng isa ay magba-browse sa pampublikong internet gamit ito.

Ang dalawang site na may magkaibang prefix ay kailangan pa rin ng mga rutang pabalik para sa saklaw ng isa't isa, at ang dalawang firewall ay kailangan ng magkatugmang patakaran. Wala sa mga ito ang nagmumula sa pamilya ng address. Ang nagmumula ay gawaing dokumentasyon: isang talahanayan ng mga prefix at ang mga sistemang pinahihintulutang tumugon sa bawat isa.

Suriin ang plano sa dalawang dulo

Tiyakin na lumilitaw ang prefix kung saan mo akala, pagkatapos ay tiyakin na ang isang destinasyon ay talagang maaabot sa pamamagitan nito.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Ipinapakita ng listahan ng address kung aling interface ang may aling subnet, at ang kliyenteng nakatanggap ng mali ay karaniwang ipinapakita iyon dito. Ipinapakita ng listahan ng ruta kung may landas ang malayong prefix sa pamamagitan ng tunnel sa halip na itapon. Sinasagot ng pagsubok ang tanging mahalagang tanong: kung naglalakbay pabalik-balik ang isang packet.

Ulitin ang pagsusuri pagkatapos ng muling pagkonekta, dahil ang kliyenteng nagpapanatili ng address nito ngunit nawawalan ng ruta ay lumilikha ng koneksyong mukhang aktibo at walang ipinapasa. Ang address ang madaling bahagi, at ang ruta ang nawawala. I-save ang parehong output sa tabi ng pangalan ng profile ng koneksyon upang ang susunod na paghahambing ay magsimula sa ebidensya.