IPv6 ULA trong VPN: địa chỉ riêng, không phải quyền riêng tư

Những địa chỉ trông như riêng tư không phải là riêng tư theo nghĩa mà hầu hết mọi người muốn nói, và cách đánh địa chỉ duy nhất cục bộ của IPv6 là trường hợp rõ ràng nhất. Một tiền tố ULA cho VPN một kế hoạch nội bộ ổn định cho các tài nguyên phía sau nó. Nó không mã hóa gì cả, không xác thực một đối tác và không quyết định dịch vụ nào mà máy khách có thể truy cập. Coi tiền tố là một biện pháp kiểm soát an ninh chính là sai lầm mà bài viết này muốn loại bỏ.

Tiền tố thực sự cung cấp gì

RFC 4193 dành riêng fc00::/7 cho mục đích sử dụng cục bộ, với bit L phân biệt không gian được gán cục bộ với dạng dự trữ. Trên thực tế, điều đó có nghĩa là thứ bạn tạo ra là fd00::/8. Đặc tả cũng định nghĩa cách ID toàn cầu 40 bit phải được suy ra, để các trang độc lập không vô tình chọn cùng một tiền tố. Không gian đó được thiết kế để nằm ngoài internet công cộng, đó là một thuộc tính định tuyến chứ không phải sự bảo vệ.

Trong một trang, cách bố trí thông thường là một ID toàn cầu /48 được chia thành các mạng con: một cho máy khách của đường hầm, một cho phía máy chủ và một cho mỗi LAN từ xa. Cấu trúc đó là toàn bộ lợi ích, và đó là lợi ích của việc đánh địa chỉ. Mỗi gói vẫn cần một tuyến và vẫn cần một chính sách cho phép nó.

Nhầm lẫn tiền tố với đường hầm là cách một thiết kế cuối cùng ghi lại các địa chỉ fd00 và cho rằng lưu lượng giữa chúng được bảo vệ. Không phải vậy, trừ khi có thứ khác đảm nhận việc bảo vệ.

Vì sao sao chép tiền tố trong ví dụ lại đau

Mọi hướng dẫn đều dùng một tiền tố dễ nhớ, và mọi người đọc sao chép nó đều thừa hưởng cùng một rủi ro xung đột. Hai trang sau này được kết nối qua một đường hầm trang-tới-trang với cùng dải địa chỉ sẽ tạo ra đúng sự mơ hồ đã biết từ không gian IPv4 riêng chồng lấn. Không bên nào sai tự thân, và mạng kết hợp không có cách nào biết đích nào được muốn nói tới.

Tạo ID toàn cầu theo quy trình đã ghi nhận chỉ mất một phút và loại bỏ câu hỏi đó. Ghi tiền tố, đầu vào tạo và ngày bên cạnh kế hoạch địa chỉ.

Rủi ro không phải lý thuyết đối với ai hợp nhất mạng sau khi mua lại hoặc nối hai phòng thí nghiệm qua VPN. Nó cũng không cấp bách với một trang duy nhất, nên nó bị hoãn lại cho đến khi việc hợp nhất đã được lên kế hoạch.

Phạm vi và truy cập là hai câu hỏi riêng

ULA không dành cho việc đánh địa chỉ internet thông thường được định tuyến toàn cầu. Điều đó không làm mọi máy chủ sử dụng nó trở nên đáng tin cậy và cũng không làm những máy chủ đó không thể truy cập từ các mạng riêng khác đã kết nối. Tường lửa và quyền của ứng dụng vẫn quyết định đối tác được dùng gì, và đường hầm vẫn cung cấp xác thực mà nó được cấu hình.

Một lối ra internet cần thiết kế lối ra IPv6 riêng. Gán một địa chỉ ULA cho máy khách không tạo ra quyền truy cập tới các đích toàn cầu tùy ý, và không nên mong một máy khách nhận được nó lại duyệt internet công cộng qua đó.

Hai trang có tiền tố khác nhau vẫn cần tuyến quay lại cho các dải của nhau, và cả hai tường lửa cần các quy tắc khớp nhau. Không điều nào trong đó suy ra từ họ địa chỉ. Điều suy ra là công việc ghi chép: một bảng tiền tố và các hệ thống được phép trả lời trên mỗi tiền tố.

Kiểm tra kế hoạch ở cả hai đầu

Xác nhận rằng tiền tố xuất hiện ở nơi bạn nghĩ, sau đó xác nhận rằng một đích thực sự có thể đến được qua nó.

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

Danh sách địa chỉ cho thấy giao diện nào có mạng con nào, và máy khách nhận sai thường thể hiện điều đó ở đây. Danh sách tuyến cho thấy tiền tố từ xa có đường qua đường hầm hay bị loại bỏ. Bài kiểm tra trả lời câu hỏi duy nhất quan trọng: gói có đi và về được không.

Lặp lại kiểm tra sau khi kết nối lại, vì một máy khách giữ địa chỉ nhưng mất tuyến sẽ tạo ra kết nối trông như đang hoạt động mà không chuyển tiếp gì. Địa chỉ là phần dễ, còn tuyến là thứ biến mất. Lưu cả hai đầu ra bên cạnh tên hồ sơ kết nối để lần so sánh tiếp theo bắt đầu từ bằng chứng.