IPv6 ULA у VPN: приватна адресація, а не приватність

Адреси, що виглядають приватними, не є приватними в тому сенсі, який має на увазі більшість людей, і унікальна локальна адресація IPv6 — найясніший випадок. Префікс ULA дає VPN стабільний внутрішній план для ресурсів за ним. Він нічого не шифрує, не автентифікує партнера й не вирішує, до яких сервісів може звернутися клієнт. Ставлення до префікса як до засобу безпеки — помилка, яку ця стаття покликана усунути.

Що насправді дає префікс

RFC 4193 виділяє fc00::/7 для локального використання, і біт L відрізняє локально призначений простір від зарезервованої форми. На практиці це означає, що ви генеруєте fd00::/8. Специфікація також визначає, як має виводитися 40-бітний глобальний ID, щоб незалежні сайти не вибрали той самий префікс випадково. Цей простір спроєктований так, щоб залишатися поза публічним інтернетом, що є властивістю маршрутизації, а не захистом.

Усередині сайту звичайна схема — це глобальний ID /48, поділений на підмережі: одна для клієнтів тунелю, одна для боку сервера й одна для кожної віддаленої LAN. Ця структура — вся вигода, і це вигода адресації. Кожен пакет досі потребує маршруту й досі потребує політики, яка його дозволяє.

Плутати префікс із тунелем — це шлях, яким проєкт зрештою документує адреси fd00 і припускає, що трафік між ними захищений. Це не так, якщо щось інше не забезпечує захист.

Чому копіювання прикладу префікса болить

Кожен посібник використовує запам'ятовуваний префікс, і кожен читач, який його копіює, успадковує той самий ризик конфлікту. Два сайти, які згодом з'єднуються через тунель між сайтами з однаковими діапазонами, створюють саме ту неоднозначність, яка відома з перекриваного приватного простору IPv4. Жодна сторона сама по собі не помиляється, і об'єднана мережа не має способу дізнатися, який пункт призначення мається на увазі.

Генерація глобального ID за документованою процедурою займає хвилину й знімає питання. Запишіть префікс, вхідні дані генерації та дату поруч із планом адрес.

Ризик не теоретичний для тих, хто об'єднує мережі після поглинання або з'єднує дві лабораторії через VPN. Він також не терміновий для одного сайту, тому його відкладають, поки об'єднання вже не заплановано.

Обсяг і доступ — різні питання

ULA не призначений для звичайної глобально маршрутизованої інтернет-адресації. Це не робить довіреним кожен хост, який його використовує, і не робить ці хости недоступними з інших підключених приватних мереж. Брандмауери й дозволи застосунків досі вирішують, що може використовувати партнер, а тунель досі забезпечує ту автентифікацію, з якою його налаштовано.

Вихід в інтернет потребує власного дизайну виходу IPv6. Призначення ULA-адреси клієнту не створює доступу до довільних глобальних призначень, і від клієнта, який її отримав, не слід очікувати перегляду публічного інтернету через неї.

Два сайти з різними префіксами досі потребують зворотних маршрутів для діапазонів одне одного, і обом брандмауерам потрібні узгоджені правила. Ніщо з цього не випливає з родини адрес. Випливає з цього робота з документації: таблиця префіксів і систем, яким дозволено відповідати на кожному з них.

Перевірте план на обох кінцях

Переконайтеся, що префікс з'являється там, де ви думаєте, а потім переконайтеся, що призначення справді доступне через нього.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Список адрес показує, який інтерфейс тримає яку підмережу, і клієнт, який отримав неправильну, зазвичай показує це тут. Список маршрутів показує, чи має віддалений префікс шлях через тунель, а не відкидається. Тест відповідає на єдине важливе питання: чи робить пакет шлях туди й назад.

Повторіть перевірку після перепідключення, бо клієнт, який зберігає адресу, але втрачає маршрут, створює з'єднання, що виглядає піднятим і нічого не передає. Адреса — проста частина, а маршрут — те, що зникає. Збережіть обидва виводи поруч із назвою профілю підключення, щоб наступне порівняння починалося з доказів.