IPv6 maxfiylik manzillari yoki RDP ruxsat ro'yxati: murosani tanlang

Masofaviy ish stoli kirishi bir oy ishladi, so'ng ruxsat ro'yxati hech kim ko'ra olmaydigan sababsiz mos kelishni to'xtatdi. Xost joyidan jilmagan va xavfsizlik devorida hech narsa tahrirlanmagan. Windows tasodifiy interfeys identifikatorlari bilan IPv6 vaqtinchalik manzillarini yaratishda va ularni bekor qilishda davom etadi, shuning uchun server istalgan kunda ko'radigan manba manzili hech kim qoidaga yozmagan manzil bo'lishi mumkin. Bu xatti-harakatni o'chirish moslikni tuzatadi va bir vaqtning o'zida xostni uzoq umr identifikatoriga aylantiradi. Ikkinchi yarmini qabul qilishdan oldin muqobillarni torting.

Nega qoida mos kelishni to'xtatdi

RFC 4941 vaqtinchalik manzillarni tavsiflaydi: xost tasodifiylashtirilgan identifikatorlar bilan qo'shimcha manzillar yaratadi va ularni bekor qiladi, bu kuzatuvchiga bitta xostni tashriflar orasida bog'lashga to'sqinlik qiladi. Windows bu xatti-harakatni amalga oshiradi, shuning uchun kechagi manba manzili bugungisi bo'lishi shart emas. Bashorat qilinadigan manzil interfeysda hali ham mavjud; shunchaki chiqish ulanishi afzal ko'radigan manzil u emas.

Shuning uchun nosozlik to'liq emas, uzilishli ko'rinadi. Manzil yaratilgandan keyin qoida bir muddat mos keladi, u bekor qilinganda mos kelishni to'xtatadi va kimdir uni tahrirlagandan keyin yana mos kela boshlaydi. Manba manzili bo'yicha guruhlangan monitoring va xost manziliga bog'langan litsenziya tekshiruvlari bir xil jadvalda buziladi. Tahrirdan keyin darhol ishlaydigan va uch haftadan keyin muvaffaqiyatsiz bo'ladigan qoida odatda shu, xavfsizlik devorini qayta yuklash emas.

Birinchi variant: bitta barqaror manzil, kamroq maxfiylik

Odatiy tuzatish xostda ikkala aylanish mexanizmini o'chiradi: netsh interface ipv6 set privacy state=disabled store=persistent va netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Qayta ishga tushirishni kutmasdan o'zgarish kuchga kirishini istasangiz store=active qo'shing va identifikatorni endi tarmoqlar orasida bashorat qilinadigan qilganingizni qabul qiling.

Aynan shu bashoratlilikni oldini olish uchun kengaytmalar qurilgan. Xostni kafedan ofisga va uyga kuzatib boradigan manzil qulay filtr kaliti va xuddi shunday qulay kuzatuv kalitidir, ikkinchi xususiyat esa birinchisini so'ragan chiptadan uzoqroq yashaydi.

Ikkinchi variant: prefiks yoki nomga ruxsat berish

To'liq manzil o'rniga /64 ga ruxsat berish aylanishni buzilmasdan saqlaydi va kuchsizroq, ammo ko'pincha halol da'voga mos keladi: bu mashina mening uy tarmog'imda. Bu prefiksda siz qabul qilmaydigan xostlar paydo bo'lgan paytdan boshlab bu yetarli bo'lishni to'xtatadi, iste'molchi ulanishida bu odatda odamlar o'ylagandan kichikroq to'plamdir. Dinamik DNS orqali e'lon qilingan nomni boshqarish osonroq, chunki yozuv xostni kuzatib boradi va siyosat har bir qurilma qo'shilganda o'sadigan diapazon sifatida emas, shaxsiyat sifatida o'qiladi.

Ikkala variant ham server ishonishi mumkin bo'lgan hal qiluvchi va osonlikcha soxtalashtirilmaydigan nomga muhtoj, shuning uchun ularga qoidaning kosmetik o'zgarishi emas, shaxsiyat haqidagi siyosiy qaror sifatida munosabatda bo'ling. O'sha nomga qaysi hal qiluvchi javob berishini yozib qo'ying, chunki qoida ortidagi yozuv qanchalik ishonchli bo'lsa, shunchalik ishonchli.

Uchinchi variant: tunnel manzilni tayinlasin

Agar ulanish siz nazorat qiladigan VPN orqali o'tsa, server manzilni o'z hovuzidan bera oladi va ruxsat ro'yxati keyin mijoz afzal ko'rgan emas, server tanlagan qiymatga murojaat qiladi. Bu boshqariladigan mijozlar uchun yaxshi, mijoz chetlab o'ta oladigan har qanday narsa uchun yomon ishlaydi, shuning uchun joylashtirishingizda qaysi tomon haqiqatda g'alaba qozonishini tekshiring.

Qarorni manzildan butunlay uzoqlashtirish, mijoz sertifikatiga yoki autentifikatsiya qilingan shlyuzga, kengayadigan variantdir, chunki u operatsion tizim o'zgartirish huquqiga ega qiymatga bog'liq bo'lishni to'xtatadi.

Kuzatuv xarajatini hisobga olib tanlang

To'rt variantni haqiqiy talabga qarshi yozing va ularni birlashtirish o'rniga bittasini tanlang. Agar baribir maxfiylikni o'chirsangiz, uni muhtoj bo'lgan xost bilan cheklang, sababni qoida yonida hujjatlashtiring va platforma qo'llab-quvvatlaydigan joyda RFC 7217 ning barqaror-maxfiy manzillashini ko'rib chiqing, chunki u apparatdan olinganini oshkor qilmasdan har bir prefiks uchun identifikator saqlaydi. Ruxsat ro'yxati almashtirilganda kengaytmalarni qayta yoqing.

O'zgarishni u qo'llab-quvvatlaydigan qoida yonida qayd eting. Bu eslatmasiz keyingi administrator maxfiylik kengaytmalari o'chirilgan va hech qanday tushuntirishsiz xostni topadi va tozalash paytida ularni qayta yoqadi.