VPN ichida IPv6 ULA: maxsus manzillash, maxfiylik emas

Maxsus ko'rinadigan manzillar ko'pchilik nazarda tutgan ma'noda maxsus emas, va IPv6 ning noyob mahalliy manzillashi buning eng aniq holatidir. ULA prefiksi VPN ga uning orqasidagi resurslar uchun barqaror ichki reja beradi. U hech narsani shifrlamaydi, hamkorni autentifikatsiya qilmaydi va mijoz qaysi xizmatlarga yetib borishini hal qilmaydi. Prefiksni xavfsizlik nazorati deb qarash — bu maqola bartaraf etmoqchi bo'lgan xato.

Prefiks aslida nima beradi

RFC 4193 fc00::/7 ni mahalliy foydalanish uchun ajratadi, L biti esa mahalliy ajratilgan bo'shliqni zaxiralangan shakldan farqlaydi. Amalda bu siz yaratadigan narsa fd00::/8 degani. Spetsifikatsiya 40 bitlik global ID qanday olinishini ham belgilaydi, shunda mustaqil saytlar tasodifan bir xil prefiks tanlamaydi. Bu bo'shliq ommaviy internetdan tashqarida qolish uchun loyihalangan, bu marshrutlash xususiyati, himoya emas.

Bitta sayt ichida odatiy joylashuv quyi tarmoqlarga bo'lingan /48 global ID dir: biri tunnel mijozlari uchun, biri server tomoni uchun va har bir uzoq LAN uchun bittasi. Bu tuzilma butun foyda, va bu manzillash foydasi. Har bir paket hali ham marshrutga va hali ham unga ruxsat beruvchi siyosatga muhtoj.

Prefiksni tunnel bilan aralashtirish — bu dizayn fd00 manzillarini hujjatlashtirib, ular orasidagi trafik himoyalangan deb taxmin qiladigan yo'l. Boshqa narsa himoya qilmasa, u himoyalangan emas.

Nega namuna prefiksini nusxalash og'riqli

Har bir qo'llanma esda qoladigan prefiksdann foydalanadi, va uni nusxalagan har bir o'quvchi xuddi shu to'qnashuv xavfini meros oladi. Keyinchalik bir xil diapazonlar bilan sayt-orasidagi tunnel orqali ulanadigan ikki sayt aynan bir-biriga yopishgan maxsus IPv4 bo'shlig'idan ma'lum bo'lgan noaniqlikni keltirib chiqaradi. Hech bir tomon o'z-o'zidan noto'g'ri emas, va birlashtirilgan tarmoq qaysi manzil nazarda tutilganini bilishning yo'li yo'q.

Global ID ni hujjatlashtirilgan jarayon bo'yicha yaratish bir daqiqa vaqt oladi va savolni yo'q qiladi. Manzillar rejasi yonida prefiks, yaratish kiritmasi va sanani yozib qo'ying.

Xavf sotib olishdan keyin tarmoqlarni birlashtirgan yoki VPN orqali ikki laboratoriyani ulagan har bir kishi uchun nazariy emas. Bitta sayt uchun ham shoshilinch emas, shuning uchun birlashma allaqachon rejalashtirilmaguncha u kechiktiriladi.

Qamrov va kirish alohida savollar

ULA oddiy global marshrutlanadigan internet manzillashi uchun emas. Bu undan foydalanadigan har bir hostni ishonchli qilmaydi va bu hostlarni boshqa ulangan maxsus tarmoqlardan yetib bo'lmaydigan qilmaydi. Firewall va ilova ruxsatlari hali ham hamkor nima ishlatishi mumkinligini hal qiladi, va tunnel hali ham u bilan sozlangan autentifikatsiyani taqdim etadi.

Internet chiqishi o'zining alohida IPv6 chiqish dizayniga muhtoj. Mijozga ULA manzilini berish o'zboshimchalik bilan global manzillarga kirishni yaratmaydi, va bunday manzil olgan mijoz undan ommaviy internetni ko'rishini kutish kerak emas.

Turli prefikslarga ega ikki sayt hali ham bir-birining diapazonlari uchun qaytish marshrutlariga muhtoj, va ikkala firewall ham mos qoidalarga muhtoj. Bularning hech biri manzillar oilasidan kelib chiqmaydi. Kelib chiqadigan narsa hujjatlashtirish ishi: prefikslar jadvali va har birida javob berishga ruxsat berilgan tizimlar.

Rejani ikkala uchida ham tekshiring

Prefiks siz o'ylagan joyda paydo bo'lishini tasdiqlang, so'ng manzil haqiqatan ham u orqali yetib borishini tasdiqlang.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Manzillar ro'yxati qaysi interfeys qaysi quyi tarmoqqa ega ekanini ko'rsatadi, va noto'g'risini olgan mijoz buni odatda shu yerda ko'rsatadi. Marshrutlar ro'yxati uzoq prefiks tunnel orqali yo'lga ega yoki tashlab yuborilishini ko'rsatadi. Sinov yagona muhim savolga javob beradi: paket borib qaytadimi.

Qayta ulangandan keyin tekshiruvni takrorlang, chunki manzilini saqlab qolib marshrutini yo'qotgan mijoz yuqorida turgandek ko'rinadigan va hech narsa uzatmaydigan ulanish hosil qiladi. Manzil — oson qism, marshrut esa yo'qoladigan narsa. Keyingi taqqoslash dalildan boshlanishi uchun ikkala natijani ulanish profili nomi yonida saqlang.