Địa chỉ IPv6 không thay thế VPN của bạn: đi lại công việc ban đầu

Mở trang trạng thái của máy khách, thấy một địa chỉ IPv6 toàn cầu, và cám dỗ là kết luận rằng đường hầm đã trở thành tùy chọn. Trang đó hiển thị một địa chỉ, không phải ranh giới mã hóa, không phải bảng định tuyến riêng và không phải quyết định truy cập. Một VPN thường đảm nhận ba công việc cùng lúc, và IPv6 chỉ chạm vào công việc về chia sẻ địa chỉ khan hiếm. Đi qua một dịch vụ từ máy khách đến trình lắng nghe là cách duy nhất để thấy công việc nào sống sót sau thay đổi.

Gọi tên công việc trước khi gỡ công cụ

Người ta nói «VPN» khi muốn nói một trong ba cách sắp xếp, và cả ba đều thất bại vì lý do khác nhau. Đến được một ứng dụng do một nhóm công bố là vấn đề truy cập ứng dụng. Tham gia một tập hợp mạng riêng xác định để nhiều địa điểm đến được nhau là quan hệ định tuyến. Duy trì một lớp quản trị ổn định trên hạ tầng mà bạn không kiểm soát hoàn toàn là một cách sắp xếp vận hành với kế hoạch địa chỉ riêng.

IPv6 gỡ bỏ rào cản chia sẻ địa chỉ cho cách sắp xếp đầu tiên, và ở đó nó làm công việc thực sự, vì một địa chỉ trực tiếp có thể thay thế một bộ phiên dịch. Với hai cách còn lại nó không thay đổi gì, vì yêu cầu chưa bao giờ là khan hiếm địa chỉ. Viết ra bạn thực sự đang chạy cách nào trong ba trước khi chạm vào cấu hình.

Địa chỉ công khai không phải mã hóa

Một địa chỉ có phạm vi toàn cầu cho bạn biết máy chủ có thể được đến từ đâu; nó không nói gì về việc lưu lượng đến đó có được mã hóa hay xác thực hay không. Phần thảo luận bảo mật của RFC 8504 tách hỗ trợ triển khai IPsec khỏi lựa chọn rộng hơn giữa IPsec, TLS, SSH và các cách tiếp cận khác, và đó chính là sự phân biệt biến mất khi khả năng tiếp cận được đọc như biện pháp bảo vệ. Một ngăn xếp hỗ trợ một cơ chế chỉ chứng minh rằng cơ chế đó có sẵn, không bao giờ chứng minh rằng luồng này đã đi qua nó. Riêng với IPsec, hiệp hội đã thương lượng và lưu lượng mà nó chọn quyết định cái gì được bảo vệ, và một họ địa chỉ là thuộc tính của gói tin, không phải chính sách cho nó.

Khả năng tiếp cận lại là một câu hỏi riêng. Một địa chỉ công khai không làm lưu lượng không được yêu cầu đến, vì tuyến đường, tường lửa và trình lắng nghe mỗi thứ có một phiếu, và gỡ NAT chỉ gỡ một bộ lọc, không phải tất cả. Quyết định đường hầm đã thay thế cái nào trong ba, nếu có.

Lớp phủ vẫn cung cấp gì

Một lớp phủ vẫn xứng đáng có chỗ trong ba tình huống. Người dùng từ xa có thể cần một tập tuyến đường cụ thể thay vì một ứng dụng, hai địa điểm có thể cần một thỏa thuận tiếp cận riêng, và người vận hành có thể muốn địa chỉ hóa không thay đổi khi nhà cung cấp truy cập thay đổi. Không cái nào trong ba là về tình trạng thiếu địa chỉ IPv4.

Địa chỉ toàn cầu không làm điều đó khỏi phải bảo trì. Một kế hoạch nội bộ gọn gàng không giữ điểm cuối bên ngoài trả lời sau khi nhà cung cấp thay đổi nó, và xác thực, kết nối lại cùng cập nhật tên vẫn cần một người sở hữu. Quyết định những thứ đó phục hồi thế nào trước khi tắt bất cứ thứ gì.

Đi qua dịch vụ trở thành công khai

Bắt đầu từ máy chủ và liệt kê cái gì thực sự đang lắng nghe, vì ứng dụng bạn đã phê duyệt hiếm khi là thứ duy nhất trên máy. ss -lntup in mọi trình lắng nghe TCP và UDP cùng địa chỉ liên kết của nó và thêm tiến trình sở hữu ở nơi quyền của bạn cho phép, điều này cho thấy trong một cái nhìn liệu một giao diện quản trị nằm trên địa chỉ ký tự đại diện hay chỉ trên loopback. Lặp lại như ss -6 -lntup nếu ngăn xếp của bạn giữ các ổ cắm IPv6 riêng.

Sau đó phân loại từng dòng theo đối tượng. Một cổng ứng dụng mang xác thực và bảo mật vận chuyển của riêng nó có thể ổn trên một địa chỉ công khai, trong khi giao diện quản trị, điểm cuối số liệu và cổng cơ sở dữ liệu thường không. Một ứng dụng được phê duyệt là phán đoán chỉ về ứng dụng đó, không bao giờ là quyền phơi bày mọi dịch vụ chia sẻ máy chủ. Địa chỉ liên kết trên mỗi dòng cho bạn biết việc phơi bày đã tồn tại hay sẽ được tạo bởi thay đổi bạn đang lên kế hoạch.

Hai bài kiểm tra, rồi quyết định tắt gì

Trước khi gỡ một lớp, trả lời hai câu hỏi trên giấy. Thứ nhất, yêu cầu có cần định tuyến riêng, nghĩa là khả năng tiếp cận mà một địa chỉ công khai không hàm ý và nhà cung cấp truy cập không cung cấp? Thứ hai, nó có cần một ranh giới bảo vệ, nghĩa là mã hóa và xác thực trên một luồng mà nếu không sẽ đi qua một đường không đáng tin cậy một cách công khai? Nếu cả hai câu trả lời là không cho dịch vụ đó, đường hầm là ứng viên để gỡ; nếu một trong hai là có, nó ở lại.

Chạy cùng bài kiểm tra trên IPv4 và IPv6 riêng biệt trên một máy khách hai ngăn xếp, vì lưu lượng IPv4 được bảo vệ không nói gì về đường IPv6. Một địa chỉ IPv6 toàn cầu trong trang trạng thái không phải bằng chứng rò rỉ, và việc thiếu nó không phải bằng chứng bảo vệ. Chỉ tắt những dịch vụ mà cả hai câu trả lời đã được ghi lại và vẫn là không, và ghi vào nhật ký thay đổi câu hỏi nào đã quyết định điều đó.