Адреси конфіденційності IPv6 або список дозволів RDP: виберіть компроміс

Віддалений доступ до робочого столу працював місяць, а потім список дозволів перестав збігатися без будь-якої видимої причини. Хост не переміщався, і в брандмауері нічого не редагувалося. Windows продовжує формувати тимчасові адреси IPv6 з випадковими ідентифікаторами інтерфейсу та відкликати їх, тому адреса джерела, яку сервер бачить у будь-який день, може бути тією, якої ніхто не вписав у правило. Вимкнення цієї поведінки виправляє збіг і водночас перетворює хост на довгоживучий ідентифікатор. Зважте альтернативи, перш ніж прийняти другу половину.

Чому правило перестало збігатися

RFC 4941 описує тимчасові адреси: хост створює додаткові адреси з рандомізованими ідентифікаторами та відкликає їх, що не дає спостерігачеві зіставити один хост між відвідуваннями. Windows реалізує цю поведінку, тому вчорашня адреса джерела не обов'язково сьогоднішня. Передбачувана адреса досі існує на інтерфейсі; просто це не та, якій надає перевагу вихідне з'єднання.

Тому збій виглядає переривчастим, а не повним. Правило збігається деякий час після створення адреси, перестає збігатися, коли її відкликано, і знову починає збігатися після того, як хтось її відредагує. Моніторинг, згрупований за адресою джерела, і перевірки ліцензій, прив'язані до адреси хоста, ламаються за тим самим графіком. Правило, яке працює одразу після редагування і відмовляє через три тижні, зазвичай це саме воно, а не перезавантаження брандмауера.

Варіант перший: одна стабільна адреса, менше конфіденційності

Звичайне виправлення вимикає обидва механізми ротації на хості: netsh interface ipv6 set privacy state=disabled store=persistent і netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Додайте store=active, якщо хочете, щоб зміна набула чинності без очікування перезавантаження, і прийміть, що тепер ви зробили ідентифікатор передбачуваним у різних мережах.

Саме цій передбачуваності мали запобігати розширення. Адреса, яка супроводжує хост із кафе до офісу й додому, — зручний ключ фільтрації та такий самий зручний ключ відстеження, і друга властивість переживає заявку, яка попросила першу.

Варіант другий: дозволити префікс або ім'я

Дозвіл /64 замість повної адреси зберігає ротацію недоторканою і відповідає слабшому, але часто чесному твердженню: ця машина в моїй домашній мережі. Це перестає бути достатнім у той момент, коли такий префікс містить хости, яких ви не допустили б, а в споживчому з'єднанні це зазвичай менший набір, ніж люди припускають. Ім'я, опубліковане через динамічний DNS, простіше експлуатувати, бо запис іде за хостом, і політика читається як ідентичність, а не як діапазон, що зростає з кожним доданим пристроєм.

Обидва варіанти потребують резолвера, якому сервер може довіряти, і імені, яке не можна тривіально підробити, тому ставтеся до них як до політичного рішення про ідентичність, а не як до косметичної зміни правила. Запишіть, який резолвер відповідає за це ім'я, бо правило надійне рівно настільки, наскільки надійний запис за ним.

Варіант третій: нехай тунель призначить адресу

Якщо з'єднання проходить через VPN, який ви контролюєте, сервер може видавати адресу зі свого пулу, і список дозволів тоді посилається на значення, яке обирає сервер, а не на те, якому надає перевагу клієнт. Це добре працює для керованих клієнтів і погано для всього, що клієнт може обійти, тому перевірте, яка сторона насправді перемагає у вашому розгортанні.

Повне перенесення рішення з адреси, на сертифікат клієнта або автентифікований шлюз, — це варіант, який масштабується, бо він перестає залежати від значення, яке операційна система має право змінити.

Вибирайте з огляду на вартість відстеження

Запишіть чотири варіанти проти реальної вимоги й виберіть один, а не комбінуйте їх. Якщо ви все ж вимикаєте конфіденційність, обмежте її хостом, якому вона потрібна, задокументуйте причину поруч із правилом і розгляньте стабільну приватну адресацію з RFC 7217 там, де платформа її підтримує, оскільки вона зберігає ідентифікатор на префікс, не розкриваючи отриманий з обладнання. Увімкніть розширення знову, коли список дозволів буде замінено.

Запишіть зміну поруч із правилом, яке вона підтримує. Без цієї нотатки наступний адміністратор знайде хост із вимкненими розширеннями конфіденційності та без пояснення й увімкне їх назад під час прибирання.