Przede wszystkim nie ma się czego obawiać przed publicznym przydzieleniem adresu IP, o ile urządzenia zabezpieczające są odpowiednio skonfigurowane.
Czym powinienem zastąpić NAT, jeśli nie mamy fizycznie oddzielnych sieci?
To samo, z czym fizycznie je rozdzielamy od lat 80-tych, routery i zapory ogniowe. Jednym z dużych korzyści bezpieczeństwa uzyskanych dzięki NAT jest to, że zmusza cię do konfiguracji domyślnej odmowy. Aby uzyskać przez to jakąkolwiek usługę, musisz jawnie dziurawić dziury. Bardziej zaawansowane urządzenia umożliwiają nawet stosowanie list ACL opartych na IP do tych dziur, podobnie jak zapora ogniowa. Prawdopodobnie dlatego, że mają „zaporę ogniową” na pudełku.
Prawidłowo skonfigurowana zapora zapewnia dokładnie tę samą usługę, co brama NAT. Bramy NAT są często używane, ponieważ łatwiej jest uzyskać bezpieczną konfigurację niż większość zapór.
Słyszę, że IPv6 i IPSEC powinny jakoś to wszystko zabezpieczyć, ale bez fizycznie oddzielonych sieci, które sprawiają, że te urządzenia są niewidoczne dla Internetu, naprawdę nie widzę, jak to zrobić.
To jest nieporozumienie. Pracuję dla uniwersytetu, który ma przydział IPv4 / 16, a ogromna większość naszego zużycia adresu IP dotyczy tego publicznego przydziału. Z pewnością wszystkie nasze stacje robocze i drukarki dla użytkowników końcowych. Nasze zużycie RFC1918 jest ograniczone do urządzeń sieciowych i niektórych określonych serwerów, na których takie adresy są wymagane. Nie zdziwiłbym się, gdybyś właśnie zadrżał właśnie teraz, ponieważ z pewnością zrobiłem to, gdy pojawiłem się pierwszego dnia i zobaczyłem to na monitorze z moim adresem IP.
A jednak przetrwamy. Dlaczego? Ponieważ mamy zewnętrzną zaporę sieciową skonfigurowaną do domyślnego odrzucania z ograniczoną przepustowością ICMP. Fakt, że 140.160.123.45 jest teoretycznie możliwy do przejechania, nie oznacza, że możesz się tam dostać z dowolnego miejsca w publicznym Internecie. Do tego właśnie zostały zaprojektowane zapory ogniowe.
Przy odpowiednich konfiguracjach routera różne podsieci w naszej alokacji mogą być od siebie całkowicie niedostępne. Możesz to zrobić w tablicach routerów lub zaporach ogniowych. To osobna sieć, która w przeszłości zadowalała naszych audytorów bezpieczeństwa.
W piekle nie ma mowy, że umieszczę naszą bazę rozliczeniową (z dużą ilością informacji o karcie kredytowej!) W Internecie, aby każdy mógł ją zobaczyć.
Nasza baza danych rozliczeniowych znajduje się na publicznym adresie IPv4 i istnieje przez cały okres jej istnienia, ale mamy dowód, że nie możesz się stąd dostać. To, że adres znajduje się na publicznej liście tras w wersji 4, nie oznacza, że jest gwarantowany. Dwie zapory ogniowe między złem Internetu i rzeczywistymi portami bazy danych odfiltrowują zło. Nawet z mojego biurka za pierwszym firewallem nie mogę dostać się do tej bazy danych.
Informacje o karcie kredytowej to jeden szczególny przypadek. Jest to zgodne ze standardami PCI-DSS, a standardy stwierdzają bezpośrednio, że serwery zawierające takie dane muszą znajdować się za bramą NAT 1 . Nasze są, a te trzy serwery reprezentują nasze całkowite wykorzystanie serwerów przez adresy RFC1918. Nie dodaje żadnych zabezpieczeń, tylko warstwę złożoności, ale musimy zaznaczyć to pole wyboru do kontroli.
Oryginalna idea „IPv6 sprawia, że NAT jest już przeszłością” została zgłoszona, zanim boom internetowy naprawdę znalazł się w głównym nurcie. W 1995 r. NAT było obejściem problemu z obejściem niewielkiej alokacji IP. W 2005 r. Został zapisany w wielu dokumentach dotyczących najlepszych praktyk bezpieczeństwa oraz w co najmniej jednym głównym standardzie (konkretnie PCI-DSS). Jedyną konkretną korzyścią, jaką daje NAT, jest to, że zewnętrzny podmiot wykonujący rozpoznawanie w sieci nie wie, jak wygląda krajobraz IP za urządzeniem NAT (choć dzięki RFC1918 mają dobre przypuszczenia), i na IPv4 bez NAT (takie jak jak moja praca) tak nie jest. To mały krok w obronie dogłębnej, a nie duży.
Zastąpienie adresów RFC1918 to tak zwane unikalne adresy lokalne. Podobnie jak RFC1918, nie trasują, chyba że rówieśnicy wyraźnie zgodzą się na ich trasowanie. W przeciwieństwie do RFC1918 są (prawdopodobnie) globalnie unikalne. Translatory adresów IPv6, które tłumaczą ULA na globalne adresy IP, istnieją w obwodowym sprzęcie wyższego zakresu, na pewno jeszcze nie w sprzęcie SOHO.
Możesz dobrze przetrwać z publicznym adresem IP. Pamiętaj tylko, że „publiczne” nie gwarantuje „osiągalności”, a wszystko będzie dobrze.
Aktualizacja 2017
W ciągu ostatnich kilku miesięcy Amazon aws dodawał obsługę IPv6. Właśnie został dodany do ich oferty amazon-vpc , a ich wdrożenie daje pewne wskazówki, jak należy oczekiwać wdrożeń na dużą skalę.
- Otrzymujesz przydział / 56 (256 podsieci).
- Alokacja jest w pełni trasowalną podsiecią.
- Oczekuje się, że reguły zapory sieciowej ( grupy zabezpieczeń ) będą odpowiednio restrykcyjne.
- Nie ma NAT, nie jest nawet oferowany, więc cały ruch wychodzący będzie pochodził z faktycznego adresu IP instancji.
Aby ponownie dodać jedną z zalet bezpieczeństwa NAT, oferują teraz bramę internetową tylko do Egress . Daje to jedną zaletę NAT:
- Nie można uzyskać bezpośredniego dostępu do podsieci z Internetu.
Który zapewnia warstwę dogłębnej obrony, na wypadek, gdyby źle skonfigurowana reguła zapory sieciowej przypadkowo zezwoli na ruch przychodzący.
Ta oferta nie tłumaczy adresu wewnętrznego na pojedynczy adres, tak jak NAT. Ruch wychodzący nadal będzie miał źródłowy adres IP instancji, która otworzyła połączenie. Operatorzy zapory sieciowej, którzy chcą umieścić zasoby na białej liście w VPC, lepiej będą korzystać z blokowania sieci na białej liście niż z określonych adresów IP.
Trasa nie zawsze oznacza osiągalność .
1 : Standardy PCI-DSS zmieniły się w październiku 2010 r., Oświadczenie nakazujące adresy RFC1918 zostało usunięte, a zastąpiła je „izolacja sieci”.