VPN'de IPv6 ULA: özel adresleme, gizlilik değil

Özel görünen adresler çoğu insanın kastettiği anlamda özel değildir ve IPv6'nın benzersiz yerel adreslemesi bunun en açık örneğidir. Bir ULA öneki, VPN'e arkasındaki kaynaklar için istikrarlı bir iç plan verir. Hiçbir şeyi şifrelemez, bir eşi doğrulamaz ve bir istemcinin hangi hizmetlere erişebileceğine karar vermez. Öneki bir güvenlik kontrolü olarak görmek, bu makalenin ortadan kaldırmayı amaçladığı hatadır.

Önek gerçekte ne sağlar

RFC 4193, fc00::/7 aralığını yerel kullanım için ayırır ve L biti yerel olarak atanan alanı ayrılmış biçimden ayırır. Pratikte bu, ürettiğiniz şeyin fd00::/8 olduğu anlamına gelir. Belirtim ayrıca 40 bitlik küresel kimliğin nasıl türetilmesi gerektiğini tanımlar, böylece bağımsız siteler yanlışlıkla aynı öneki seçmez. Bu alan, genel internetin dışında kalacak şekilde tasarlanmıştır; bu bir yönlendirme özelliğidir, koruma değil.

Bir sitenin içinde olağan düzen, alt ağlara bölünmüş bir /48 küresel kimliğidir: biri tünel istemcileri için, biri sunucu tarafı için ve her uzak LAN için bir tane. Bu yapı faydanın tamamıdır ve bu bir adresleme faydasıdır. Her paket yine de bir yola ve yine de ona izin veren bir politikaya ihtiyaç duyar.

Öneki tünelle karıştırmak, bir tasarımın fd00 adreslerini belgeleyip aralarındaki trafiğin korunduğunu varsaymasına yol açan şeydir. Başka bir şey koruma sağlamıyorsa korunmuyor demektir.

Örnek öneki kopyalamak neden acıtır

Her eğitim akılda kalıcı bir önek kullanır ve onu kopyalayan her okur aynı çakışma riskini devralır. Daha sonra aynı aralıklarla siteler arası bir tünel üzerinden bağlanan iki site, çakışan özel IPv4 alanından bilinen o belirsizliği tam olarak üretir. İki taraf da tek başına yanlış değildir ve birleşik ağın hangi hedefin kastedildiğini bilmesinin bir yolu yoktur.

Küresel kimliği belgelenmiş sürece göre üretmek bir dakika sürer ve soruyu ortadan kaldırır. Adres planının yanına öneki, üretim girdisini ve tarihi not edin.

Risk, bir satın almadan sonra ağları birleştiren veya iki laboratuvarı VPN üzerinden bağlayan herkes için teorik değildir. Tek bir site için de acil değildir, bu yüzden birleşme zaten planlanıncaya kadar ertelenir.

Kapsam ve erişim ayrı sorulardır

ULA, genel olarak yönlendirilen olağan internet adreslemesi için değildir. Bu, onu kullanan her ana bilgisayarı güvenilir yapmaz ve bu ana bilgisayarları diğer bağlı özel ağlardan erişilemez hale getirmez. Güvenlik duvarları ve uygulama izinleri bir eşin neyi kullanabileceğine hâlâ karar verir ve tünel hâlâ yapılandırıldığı doğrulamayı sağlar.

Bir internet çıkışının kendi IPv6 çıkış tasarımına ihtiyacı vardır. Bir istemciye ULA adresi atamak keyfi küresel hedeflere erişim yaratmaz ve böyle bir adres alan istemcinin bunun üzerinden genel internette gezinmesi beklenmemelidir.

Farklı öneklere sahip iki sitenin yine de birbirinin aralıkları için dönüş yollarına ve her iki güvenlik duvarının da uyumlu kurallara ihtiyacı vardır. Bunların hiçbiri adres ailesinden kaynaklanmaz. Kaynaklanan şey belgeleme işidir: öneklerin ve her birinde yanıt vermesine izin verilen sistemlerin tablosu.

Planı iki uçta da doğrulayın

Önekin düşündüğünüz yerde göründüğünü doğrulayın, ardından bir hedefin gerçekten onun üzerinden erişilebilir olduğunu doğrulayın.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Adres listesi hangi arayüzün hangi alt ağa sahip olduğunu gösterir ve yanlış olanı alan istemci bunu genellikle burada gösterir. Yol listesi, uzak önekin atılmak yerine tünel üzerinden bir yolu olup olmadığını gösterir. Test, önemli olan tek soruyu yanıtlar: paket gidiş dönüşü tamamlıyor mu.

Yeniden bağlandıktan sonra kontrolü yineleyin, çünkü adresini koruyup yolunu kaybeden bir istemci ayakta görünen ve hiçbir şey iletmeyen bir bağlantı üretir. Adres kolay kısımdır ve kaybolan şey yoldur. Sonraki karşılaştırma kanıttan başlasın diye iki çıktıyı bağlantı profili adının yanına kaydedin.