Прежде всего, нечего бояться находиться в публичном распределении IP-адресов, если ваши устройства безопасности настроены правильно.
Чем я должен заменить NAT, если у нас нет физически отдельных сетей?
То же самое, что мы физически разделяем их с 1980-х годов, маршрутизаторы и брандмауэры. Один большой выигрыш в безопасности, который вы получаете с помощью NAT, заключается в том, что он принудительно вводит конфигурацию, запрещающую использование по умолчанию. Чтобы получить какой-либо сервис через него, вы должны явно пробить дыры. Более изящные устройства даже позволяют вам применять ACL на основе IP к этим дырам, как брандмауэр. Вероятно, потому что у них есть «Брандмауэр» на коробке, на самом деле.
Правильно настроенный брандмауэр предоставляет точно такую же услугу, что и шлюз NAT. Шлюзы NAT часто используются, потому что им легче войти в безопасную конфигурацию, чем большинство брандмауэров.
Я слышал, что IPv6 и IPSEC должны как-то сделать все это безопасным, но без физически разделенных сетей, которые делают эти устройства невидимыми для Интернета, я действительно не понимаю, как это сделать.
Это заблуждение. Я работаю в университете, который имеет / 16 IPv4-распределение, и подавляющее большинство наших IP-адресов приходится на это публичное распределение. Конечно, все наши рабочие станции и принтеры. Наше потребление RFC1918 ограничено сетевыми устройствами и некоторыми конкретными серверами, где такие адреса требуются. Я не удивлюсь, если вы только что вздрогнули, потому что я, конечно, сделал, когда я появился в мой первый день и увидел пост-это на моем мониторе с моим IP-адресом.
И все же мы выживаем. Почему? Потому что у нас есть внешний брандмауэр, настроенный на запрет по умолчанию с ограниченной пропускной способностью ICMP. Тот факт, что 140.160.123.45 является теоретически управляемым, не означает, что вы можете добраться туда, где бы вы ни находились в общедоступном Интернете. Это то, для чего предназначены брандмауэры.
При правильных настройках маршрутизатора различные подсети в нашем распределении могут быть абсолютно недоступны друг для друга. Вы можете сделать это в таблицах маршрутизаторов или межсетевых экранах. Это отдельная сеть, которая удовлетворяла наших аудиторов в прошлом.
Нет никакого черта, что я выложу нашу базу данных счетов (с большим количеством информации о кредитной карте!) В Интернет, чтобы все могли ее увидеть.
Наша платежная база данных находится на общедоступном IPv4-адресе и существует на протяжении всего ее существования, но у нас есть доказательства того, что вы не сможете получить ее отсюда. Тот факт, что адрес находится в общедоступном маршрутизируемом списке v4, не означает, что он гарантированно будет доставлен. Два межсетевых экрана между пороками Интернета и действительными портами базы данных отфильтровывают зло. Даже со своего стола, за первым брандмауэром, я не могу добраться до этой базы данных.
Информация о кредитной карте - это особый случай. Это зависит от стандартов PCI-DSS, и стандарты прямо указывают, что серверы, содержащие такие данные, должны находиться за шлюзом NAT 1 . Наши есть, и эти три сервера представляют наше общее использование адресов RFC1918. Это не добавляет никакой безопасности, только уровень сложности, но нам нужно проверить этот флажок для проверок.
Первоначальная идея «IPv6 делает NAT ушедшим в прошлое» была выдвинута до того, как бум в Интернете по-настоящему охватил весь мейнстрим. В 1995 году NAT был обходным путем для небольшого распределения IP. В 2005 году он был закреплен во многих документах по рекомендациям по безопасности и, по крайней мере, в одном основном стандарте (в частности, PCI-DSS). Единственное конкретное преимущество, которое дает NAT, заключается в том, что внешний объект, выполняющий реконфигурацию в сети, не знает, как выглядит IP-пейзаж позади устройства NAT (хотя благодаря RFC1918 у них есть надежное предположение), и на IPv4 без NAT (такой как моя работа) это не так. Это маленький шаг в глубокой защите, а не большой.
Замена адресов RFC1918 - это так называемые уникальные локальные адреса. Как и RFC1918, они не маршрутизируют, если одноранговые узлы специально не разрешат им маршрутизировать. В отличие от RFC1918, они (вероятно) уникальны во всем мире. Трансляторы адресов IPv6, которые переводят ULA в глобальный IP, существуют в аппаратуре с более высоким диапазоном периметра, определенно еще не в аппаратуре SOHO.
Вы можете просто выжить с публичным IP-адресом. Просто имейте в виду, что «public» не гарантирует «достижимость», и у вас все будет хорошо.
Обновление 2017
В последние несколько месяцев Amazon AWS добавила поддержку IPv6. Он только что был добавлен к их предложению amazon-vpc , и их реализация дает некоторые подсказки относительно того, как ожидаются крупномасштабные развертывания.
- Вы получили распределение / 56 (256 подсетей).
- Распределение является полностью маршрутизируемой подсетью.
- От вас ожидают, что правила брандмауэра ( группы безопасности ) будут установлены соответствующим образом.
- NAT отсутствует, он даже не предлагается, поэтому весь исходящий трафик будет поступать с фактического IP-адреса экземпляра.
Чтобы добавить одно из преимуществ безопасности NAT, они теперь предлагают выходной интернет-шлюз только для выхода . Это предлагает одно NAT-подобное преимущество:
- Подсети позади этого не могут быть напрямую доступны из Интернета.
Что обеспечивает уровень глубокой защиты на случай, если неправильно настроенное правило брандмауэра случайно разрешит входящий трафик.
Это предложение не переводит внутренний адрес в один адрес, как это делает NAT. Исходящий трафик по-прежнему будет иметь исходный IP-адрес экземпляра, который открыл соединение. Операторам брандмауэра, которые ищут ресурсы для белого списка в VPC, будет лучше использовать сетевые блоки белого списка, а не конкретные IP-адреса.
Маршрутизация не всегда означает достижимость .
1 : Стандарты PCI-DSS изменились в октябре 2010 года, заявление, предписывающее адреса RFC1918, было удалено, и его заменила «изоляция сети».