Адреси IPv6 не замінюють ваш VPN: пройдіть вихідну роботу

Відкрийте сторінку стану клієнта, побачте глобальну адресу IPv6, і виникає спокуса зробити висновок, що тунель став необов'язковим. Ця сторінка показує адресу, а не межу шифрування, не таблицю приватної маршрутизації і не рішення про доступ. VPN зазвичай виконує три роботи одночасно, і IPv6 торкається лише тієї, що стосується розподілу дефіцитних адрес. Пройти одну службу від клієнта до слухача — єдиний спосіб побачити, яка робота переживе зміну.

Назвіть роботу, перш ніж прибирати інструмент

Люди кажуть «VPN», коли мають на увазі один із трьох устроїв, і всі три відмовляють з різних причин. Дістатися до однієї програми, опублікованої однією командою, — це завдання доступу до програми. Увійти до визначеного набору приватних мереж, щоб кілька майданчиків могли досягати одне одного, — це відношення маршрутизації. Підтримувати стабільний адміністративний шар над інфраструктурою, якою ви не керуєте повністю, — це операційний устрій із власним планом адрес.

IPv6 усуває перешкоду розподілу адрес для першого устрою, і там робить справжню роботу, бо пряма адреса може замінити транслятор. Для двох інших він нічого не змінює, оскільки вимогою ніколи не був дефіцит адрес. Запишіть, який із трьох ви насправді експлуатуєте, перш ніж торкатися конфігурації.

Публічна адреса — не шифрування

Адреса глобальної області говорить, звідки вузол доступний; вона нічого не говорить про те, чи зашифрований або автентифікований трафік, що туди надходить. Обговорення безпеки в RFC 8504 відокремлює підтримку реалізації IPsec від ширшого вибору між IPsec, TLS, SSH та іншими підходами, і саме ця різниця зникає, коли доступність читають як захист. Стек, що підтримує механізм, довів лише те, що механізм доступний, і ніколи — що цей потік пройшов через нього. Для IPsec зокрема узгоджена асоціація та обраний нею трафік визначають, що захищено, а родина адрес — властивість пакета, а не політика для нього.

Доступність — знову окреме питання. Публічна адреса не змушує незапитаний трафік приходити, бо маршрут, міжмережевий екран і слухач мають по одному голосу, а видалення NAT прибирає один фільтр, а не всі. Вирішіть, який із цих трьох заміняв тунель, якщо взагалі заміняв.

Що ще дає накладення

Накладення все ще заслуговує свого місця в трьох ситуаціях. Віддаленим користувачам може знадобитися певний набір маршрутів, а не одна програма, двом майданчикам може знадобитися приватна угода про доступність, а операторам може знадобитися адресація, що не змінюється зі зміною постачальника доступу. Жодна з трьох не про брак адрес IPv4.

Глобальні адреси не роблять це без обслуговування. Охайний внутрішній план не утримує зовнішню кінцеву точку відповідальною після того, як постачальник її змінить, а автентифікація, перепідключення та оновлення імен усе ще потребують власника. Вирішіть, як це відновлюється, перш ніж щось вимикати.

Пройдіть службу, яка стає публічною

Почніть з вузла й перелічіть, що насправді слухає, бо схвалена вами програма рідко є єдиним на машині. ss -lntup друкує кожного слухача TCP і UDP з його адресою прив'язки і додає процес-власник там, де дозволяють ваші права, що з першого погляду показує, чи адміністративний інтерфейс сидить на шаблонній адресі, чи лише на loopback. Повторіть як ss -6 -lntup, якщо ваш стек тримає сокети IPv6 окремо.

Далі класифікуйте кожен рядок за аудиторією. Порт програми, що несе власну автентифікацію та безпеку транспорту, може бути гаразд на публічній адресі, тоді як адміністративний інтерфейс, кінцева точка метрик і порт бази даних зазвичай ні. Одна схвалена програма — це судження лише про неї, ніколи не дозвіл виставляти кожну службу, що ділить вузол. Адреса прив'язки в кожному рядку каже, чи експозиція вже існує або її створить запланована зміна.

Два тести, потім вирішіть, що вимкнути

Перш ніж прибирати шар, дайте відповіді на два питання на папері. Перше: чи вимога потребує приватної маршрутизації, тобто доступності, якої публічна адреса не передбачає і постачальник доступу не пропонує? Друге: чи їй потрібна межа захисту, тобто шифрування й автентифікація на потоці, який інакше відкрито перетнув би недовірений шлях? Якщо обидві відповіді для цієї служби «ні», тунель — кандидат на видалення; якщо хоч одна «так», він лишається.

Запустіть той самий тест на IPv4 і IPv6 окремо на клієнті з двома стеками, бо захищений трафік IPv4 нічого не говорить про шлях IPv6. Глобальна адреса IPv6 на сторінці стану не є доказом витоку, а її відсутність не є доказом захисту. Вимикайте лише ті служби, для яких обидві відповіді записані й досі «ні», і занотуйте в журналі змін, яке питання це вирішило.