IPv6 gizlilik adresleri mi RDP izin listesi mi: ödünleşimi seçin

Uzak masaüstü erişimi bir ay boyunca çalıştı, sonra izin listesi kimsenin göremediği bir nedenle eşleşmeyi bıraktı. Ana bilgisayar taşınmamıştı ve güvenlik duvarında hiçbir şey düzenlenmemişti. Windows rastgele arayüz tanımlayıcılarıyla geçici IPv6 adresleri oluşturmaya ve bunları geri çekmeye devam eder, bu yüzden sunucunun herhangi bir gün gördüğü kaynak adres, kimsenin kurala yazmadığı bir adres olabilir. Bu davranışı kapatmak eşleşmeyi düzeltir ve aynı zamanda ana bilgisayarı uzun ömürlü bir tanımlayıcıya dönüştürür. İkinci yarıyı kabul etmeden önce alternatifleri tartın.

Kural neden eşleşmeyi bıraktı

RFC 4941 geçici adresleri açıklar: ana bilgisayar rastgeleleştirilmiş tanımlayıcılarla ek adresler oluşturur ve bunları geri çeker, bu da bir gözlemcinin tek bir ana bilgisayarı ziyaretler arasında ilişkilendirmesini engeller. Windows bu davranışı uygular, bu nedenle dünün kaynak adresi bugünün adresi olmak zorunda değildir. Öngörülebilir adres arayüzde hâlâ vardır; yalnızca giden bağlantının tercih ettiği adres o değildir.

Bu yüzden arıza tamamen değil aralıklı görünür. Kural adres oluşturulduktan bir süre sonra eşleşir, adres geri çekilince eşleşmeyi bırakır ve biri düzenledikten sonra yeniden eşleşmeye başlar. Kaynak adrese göre gruplanmış izleme ve ana bilgisayar adresine bağlı lisans kontrolleri aynı takvimde bozulur. Düzenlemeden hemen sonra çalışıp üç hafta sonra başarısız olan kural genellikle budur, güvenlik duvarının yeniden yüklenmesi değil.

Birinci seçenek: tek kararlı adres, daha az gizlilik

Olağan onarım ana bilgisayarda her iki döndürme mekanizmasını da kapatır: netsh interface ipv6 set privacy state=disabled store=persistent ve netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Yeniden başlatmayı beklemeden değişikliğin yürürlüğe girmesini istiyorsanız store=active ekleyin ve tanımlayıcıyı artık ağlar arasında öngörülebilir yaptığınızı kabul edin.

Tam da bu öngörülebilirliği önlemek için eklentiler yapıldı. Ana bilgisayarı kafeden ofise ve eve kadar izleyen bir adres, kullanışlı bir filtre anahtarı ve aynı derecede kullanışlı bir izleme anahtarıdır ve ikinci özellik birinciyi isteyen biletten daha uzun yaşar.

İkinci seçenek: bir öneke veya ada izin vermek

Tam adres yerine /64'e izin vermek döndürmeyi bozulmadan korur ve daha zayıf ama çoğu zaman dürüst bir iddiaya uyar: bu makine ev ağımda. Bu önek, kabul etmeyeceğiniz ana bilgisayarları içerdiği anda yeterli olmaktan çıkar; tüketici bağlantısında bu genellikle insanların sandığından daha küçük bir kümedir. Dinamik DNS üzerinden yayımlanan bir adı işletmek daha kolaydır, çünkü kayıt ana bilgisayarı izler ve politika, her cihaz eklendiğinde büyüyen bir aralık değil, bir kimlik olarak okunur.

Her iki seçenek de sunucunun güvenebileceği bir çözümleyici ve kolayca sahte yapılamayan bir ad gerektirir, bu yüzden onları kuralın kozmetik bir değişikliği değil, kimlik konusunda bir politika kararı olarak ele alın. O ada hangi çözümleyicinin yanıt verdiğini yazın, çünkü kural ancak arkasındaki kayıt kadar güvenilirdir.

Üçüncü seçenek: adresi tünel atsın

Bağlantı sizin denetlediğiniz bir VPN üzerinden geçiyorsa, sunucu adresi kendi havuzundan verebilir ve izin listesi o zaman istemcinin tercih ettiği değil, sunucunun seçtiği değere başvurur. Bu, yönetilen istemciler için iyi çalışır ve istemcinin atlayabildiği her şey için kötü çalışır, bu yüzden dağıtımınızda aslında hangi tarafın kazandığını doğrulayın.

Kararı adresten tamamen uzaklaştırmak, bir istemci sertifikasına veya kimliği doğrulanmış bir ağ geçidine, ölçeklenen seçenektir, çünkü işletim sisteminin değiştirme hakkına sahip olduğu bir değere bağımlı olmayı bırakır.

İzleme maliyetini göz önünde tutarak seçin

Dört seçeneği gerçek gereksinimin karşısına yazın ve onları birleştirmek yerine birini seçin. Gizliliği yine de kapatırsanız, bunu ihtiyaç duyan ana bilgisayarla sınırlayın, nedeni kuralın yanına belgeleyin ve platformun desteklediği yerde RFC 7217'nin kararlı-gizli adreslemesini değerlendirin, çünkü donanımdan türetileni açığa çıkarmadan önek başına bir tanımlayıcı tutar. İzin listesi değiştirildiğinde eklentileri yeniden etkinleştirin.

Değişikliği desteklediği kuralın yanına kaydedin. Bu not olmadan bir sonraki yönetici, gizlilik eklentileri kapalı ve açıklaması olmayan bir ana bilgisayar bulur ve bir temizlik sırasında bunları yeniden açar.