IPv6 adresleri VPN'inizin yerini almaz: asıl işi baştan yürüyün

İstemcinin durum sayfasını açın, küresel bir IPv6 adresi görün ve tünelin artık isteğe bağlı hale geldiği sonucuna varma cazibesi doğar. O sayfa bir adres gösterir; şifreleme sınırı değil, özel yönlendirme tablosu değil ve erişim kararı değil. Bir VPN genellikle aynı anda üç iş taşır ve IPv6 yalnızca kıt adreslerin paylaşılmasıyla ilgili olana dokunur. Tek bir hizmeti istemciden dinleyiciye kadar yürümek, değişimden sonra hangi işin hayatta kaldığını görmenin tek yoludur.

Aracı kaldırmadan önce işi adlandırın

İnsanlar üç düzenlemeden birini kastettiklerinde „VPN” derler ve üçü de farklı nedenlerle başarısız olur. Tek bir ekibin yayımladığı tek bir uygulamaya ulaşmak bir uygulama erişimi sorunudur. Birden çok sahanın birbirine ulaşması için tanımlı bir özel ağlar kümesine katılmak bir yönlendirme ilişkisidir. Tam olarak denetlemediğiniz altyapı üzerinde kararlı bir yönetim katmanı tutmak, kendi adres planı olan bir operasyon düzenlemesidir.

IPv6 ilk düzenleme için adres paylaşımı engelini kaldırır ve orada gerçek iş yapar, çünkü doğrudan bir adres bir çeviricinin yerini alabilir. Diğer ikisi için hiçbir şeyi değiştirmez, çünkü gereksinim hiçbir zaman adres kıtlığı değildi. Bir yapılandırmaya dokunmadan önce üçünden hangisini gerçekten çalıştırdığınızı yazın.

Genel bir adres şifreleme değildir

Küresel kapsamlı bir adres, bir ana bilgisayara nereden ulaşılabileceğini söyler; oraya gelen trafiğin şifrelenip şifrelenmediği veya kimlik doğrulamasından geçip geçmediği hakkında hiçbir şey söylemez. RFC 8504'ün güvenlik tartışması IPsec uygulama desteğini IPsec, TLS, SSH ve diğer yaklaşımlar arasındaki daha geniş seçimden ayırır ve tam olarak erişilebilirlik koruma olarak okunduğunda kaybolan ayrım budur. Bir mekanizmayı destekleyen yığın, yalnızca mekanizmanın mevcut olduğunu kanıtlamıştır; bu akışın ondan geçtiğini asla kanıtlamamıştır. Özellikle IPsec için, görüşülen ilişkilendirme ve seçtiği trafik neyin korunduğuna karar verir ve bir adres ailesi paketin bir özelliğidir, onun için bir politika değil.

Erişilebilirlik yine ayrı bir sorudur. Genel bir adres istenmeyen trafiğin gelmesini sağlamaz, çünkü rota, güvenlik duvarı ve dinleyici her birinin bir oyu vardır ve NAT'ı kaldırmak bir filtreyi kaldırır, hepsini değil. Tünelin bu üçünden hangisinin yerini tuttuğuna karar verin, eğer varsa.

Kaplamanın hâlâ sağladıkları

Bir kaplama üç durumda hâlâ yerini hak eder. Uzak kullanıcılar tek bir uygulama yerine belirli bir rota kümesine ihtiyaç duyabilir, iki saha özel bir erişilebilirlik anlaşmasına ihtiyaç duyabilir ve operatörler erişim sağlayıcısı değiştiğinde değişmeyen bir adresleme isteyebilir. Üçünün hiçbiri IPv4 adreslerinin kıtlığıyla ilgili değildir.

Küresel adresler bunu bakımsız hale getirmez. Düzenli bir iç plan, sağlayıcı onu değiştirdikten sonra dış uç noktayı yanıt verir durumda tutmaz ve kimlik doğrulama, yeniden bağlanma ve ad güncellemeleri hâlâ bir sahibe ihtiyaç duyar. Bir şey kapatılmadan önce bunların nasıl toparlanacağına karar verin.

Genel hale gelen hizmeti baştan yürüyün

Ana bilgisayardan başlayın ve gerçekte neyin dinlediğini listeleyin, çünkü onayladığınız uygulama makinedeki tek şey olmakta nadirdir. ss -lntup her TCP ve UDP dinleyicisini bağlama adresiyle birlikte yazdırır ve ayrıcalıklarınızın izin verdiği yerde sahip sürecini ekler; bu, bir yönetim arayüzünün joker adreste mi yoksa yalnızca loopback'te mi oturduğunu bir bakışta gösterir. Yığınınız IPv6 soketlerini ayrı tutuyorsa ss -6 -lntup olarak tekrarlayın.

Ardından her satırı hedef kitleye göre sınıflandırın. Kendi kimlik doğrulamasını ve taşıma güvenliğini taşıyan bir uygulama portu genel bir adreste sorun olmayabilir, oysa yönetim arayüzü, metrik uç noktası ve veritabanı portu genellikle değildir. Onaylanmış tek bir uygulama yalnızca o uygulama hakkında bir yargıdır; ana bilgisayarı paylaşan her hizmeti açığa çıkarma izni asla değildir. Her satırdaki bağlama adresi, açığın zaten var olup olmadığını veya planladığınız değişiklikle oluşup oluşmayacağını söyler.

İki test, sonra neyin kapatılacağına karar verin

Bir katmanı kaldırmadan önce kâğıt üzerinde iki soruyu yanıtlayın. Birincisi, gereksinim özel yönlendirme gerektiriyor mu, yani genel bir adresin ima etmediği ve erişim sağlayıcısının sunmadığı bir erişilebilirlik mi? İkincisi, bir koruma sınırına ihtiyaç var mı, yani aksi halde güvenilmeyen bir yolu açıkça geçecek bir akışta şifreleme ve kimlik doğrulama mı? O hizmet için iki yanıt da hayırsa, tünel kaldırılma adayıdır; biri bile evetse kalır.

Aynı testi IPv4 ve IPv6 üzerinde ayrı ayrı çift yığınlı bir istemcide çalıştırın, çünkü korunan IPv4 trafiği IPv6 yoluna dair hiçbir şey söylemez. Bir durum sayfasındaki küresel IPv6 adresi sızıntı kanıtı değildir ve yokluğu koruma kanıtı değildir. Yalnızca iki yanıtın da yazıldığı ve hâlâ hayır olduğu hizmetleri kapatın ve değişiklik kaydına hangi sorunun buna karar verdiğini not edin.