Địa chỉ riêng tư IPv6 hay danh sách cho phép RDP: chọn sự đánh đổi

Truy cập máy tính để bàn từ xa hoạt động được một tháng, rồi danh sách cho phép ngừng khớp mà không có lý do ai cũng thấy. Máy chủ không di chuyển và không có gì trong tường lửa bị sửa. Windows tiếp tục tạo địa chỉ IPv6 tạm thời với định danh giao diện ngẫu nhiên và thu hồi chúng, nên địa chỉ nguồn mà máy chủ thấy vào bất kỳ ngày nào có thể là địa chỉ mà không ai đã ghi vào quy tắc. Tắt hành vi đó sửa được việc khớp và đồng thời biến máy chủ thành một định danh tồn tại lâu. Cân nhắc các lựa chọn thay thế trước khi chấp nhận nửa sau.

Vì sao quy tắc ngừng khớp

RFC 4941 mô tả địa chỉ tạm thời: máy chủ tạo thêm địa chỉ với định danh ngẫu nhiên và thu hồi chúng, điều này ngăn một người quan sát liên hệ một máy chủ qua các lần truy cập. Windows triển khai hành vi đó, nên địa chỉ nguồn của hôm qua không nhất thiết là của hôm nay. Địa chỉ có thể dự đoán vẫn tồn tại trên giao diện; chỉ là nó không phải địa chỉ mà một kết nối đi ra ưu tiên.

Đó là lý do sự cố trông gián đoạn chứ không toàn phần. Quy tắc khớp trong một thời gian sau khi địa chỉ được tạo, ngừng khớp khi nó bị thu hồi, và bắt đầu khớp lại sau khi ai đó sửa nó. Giám sát được nhóm theo địa chỉ nguồn và kiểm tra giấy phép gắn với địa chỉ máy chủ hỏng theo cùng một lịch. Một quy tắc chạy ngay sau khi sửa và hỏng ba tuần sau thường là điều này, không phải nạp lại tường lửa.

Lựa chọn một: một địa chỉ ổn định, ít riêng tư hơn

Cách sửa thông thường tắt cả hai cơ chế luân chuyển trên máy chủ: netsh interface ipv6 set privacy state=disabled store=persistent và netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Thêm store=active nếu bạn muốn thay đổi có hiệu lực mà không chờ khởi động lại, và chấp nhận rằng bạn đã làm định danh trở nên dễ dự đoán giữa các mạng.

Chính khả năng dự đoán đó là thứ mà các tiện ích mở rộng được tạo ra để ngăn chặn. Một địa chỉ theo máy chủ từ quán cà phê đến văn phòng và về nhà là một khóa lọc tiện lợi và cũng là khóa theo dõi tiện lợi không kém, và thuộc tính thứ hai sống lâu hơn phiếu yêu cầu thuộc tính thứ nhất.

Lựa chọn hai: cho phép một tiền tố hoặc một tên

Cho phép /64 thay vì địa chỉ đầy đủ giữ nguyên vòng luân chuyển và khớp với một tuyên bố yếu hơn nhưng thường trung thực: máy này nằm trên mạng nhà tôi. Nó ngừng đủ khi tiền tố đó chứa những máy chủ mà bạn sẽ không tiếp nhận, điều mà trên một kết nối tiêu dùng thường là một tập nhỏ hơn mọi người tưởng. Một tên được công bố qua DNS động dễ vận hành hơn, vì bản ghi theo máy chủ và chính sách được đọc như một danh tính chứ không phải một dải phát triển mỗi khi thêm thiết bị.

Hai lựa chọn đều cần một trình phân giải mà máy chủ có thể tin và một tên không thể giả mạo một cách tầm thường, nên hãy coi chúng là quyết định chính sách về danh tính chứ không phải thay đổi mỹ phẩm của quy tắc. Ghi lại trình phân giải nào trả lời tên đó, vì quy tắc chỉ đáng tin bằng bản ghi phía sau nó.

Lựa chọn ba: để đường hầm gán địa chỉ

Nếu kết nối đi qua một VPN bạn kiểm soát, máy chủ có thể cấp địa chỉ từ nhóm của chính nó, và danh sách cho phép sau đó tham chiếu một giá trị do máy chủ chọn thay vì giá trị máy khách ưu tiên. Điều đó hoạt động tốt với máy khách được quản lý và tệ với bất cứ thứ gì máy khách có thể ghi đè, nên hãy xác minh bên nào thực sự thắng trong triển khai của bạn.

Chuyển quyết định hoàn toàn ra khỏi địa chỉ, sang chứng chỉ máy khách hoặc cổng đã xác thực, là lựa chọn mở rộng được, vì nó ngừng phụ thuộc vào một giá trị mà hệ điều hành có quyền thay đổi.

Chọn với chi phí theo dõi trong tầm mắt

Viết bốn lựa chọn đối chiếu với yêu cầu thực tế, và chọn một thay vì kết hợp chúng. Nếu bạn vẫn tắt riêng tư, hãy giới hạn nó cho máy chủ cần, ghi lại lý do bên cạnh quy tắc, và xem xét địa chỉ hóa ổn định-riêng tư từ RFC 7217 ở nơi nền tảng hỗ trợ, vì nó giữ một định danh cho mỗi tiền tố mà không lộ định danh bắt nguồn từ phần cứng. Bật lại tiện ích mở rộng khi danh sách cho phép được thay thế.

Ghi lại thay đổi bên cạnh quy tắc mà nó hỗ trợ. Không có ghi chú đó, người quản trị tiếp theo sẽ tìm thấy một máy chủ với tiện ích riêng tư bị tắt và không có lời giải thích, rồi bật chúng lại trong một lần dọn dẹp.