Pertama dan terpenting, tidak ada yang perlu ditakutkan dari alokasi IP publik, selama perangkat keamanan Anda dikonfigurasi dengan benar.
Dengan apa saya harus mengganti NAT, jika kita tidak memiliki jaringan yang terpisah secara fisik?
Hal yang sama kami secara fisik memisahkan mereka dengan sejak tahun 1980-an, router dan firewall. Satu keuntungan besar keamanan yang Anda dapatkan dengan NAT adalah bahwa hal itu memaksa Anda ke konfigurasi default-deny. Untuk mendapatkan layanan apa pun , Anda harus membuat lubang secara eksplisit . Perangkat yang lebih bagus bahkan memungkinkan Anda untuk menerapkan ACL berbasis IP ke lubang tersebut, seperti firewall. Mungkin karena mereka memiliki 'Firewall' di kotaknya, sebenarnya.
Firewall yang dikonfigurasi dengan benar menyediakan layanan yang sama persis dengan gateway NAT. Gateway NAT sering digunakan karena lebih mudah untuk masuk ke konfigurasi yang aman daripada kebanyakan firewall.
Saya mendengar bahwa IPv6 dan IPSEC seharusnya membuat semua ini aman, tetapi tanpa jaringan yang terpisah secara fisik yang membuat perangkat ini tidak terlihat oleh Internet, saya benar - benar tidak dapat melihat caranya.
Ini adalah kesalahpahaman. Saya bekerja untuk Universitas yang memiliki alokasi IPv4 / 16, dan sebagian besar, sebagian besar konsumsi alamat IP kami ada pada alokasi publik itu. Tentunya semua workstation dan printer pengguna akhir kami. Konsumsi RFC1918 kami terbatas pada perangkat jaringan dan server tertentu tertentu di mana alamat tersebut diperlukan. Saya tidak akan terkejut jika Anda hanya menggigil barusan, karena tentu saja saya lakukan ketika saya muncul di hari pertama saya dan melihat post-it di monitor saya dengan alamat IP saya.
Namun, kita selamat. Mengapa? Karena kami memiliki firewall eksterior yang dikonfigurasi untuk default-deny dengan throughput ICMP terbatas. Hanya karena 140.160.123.45 secara teoritis dapat dilalui, tidak berarti Anda bisa sampai di sana dari mana pun Anda berada di internet publik. Inilah yang dirancang untuk dilakukan oleh firewall.
Dengan adanya konfigurasi router yang tepat, dan subnet yang berbeda dalam alokasi kami dapat benar-benar tidak dapat dijangkau satu sama lain. Anda dapat melakukannya di tabel router atau firewall. Ini adalah jaringan yang terpisah dan telah memuaskan auditor keamanan kami di masa lalu.
Tidak mungkin saya akan meletakkan basis data penagihan kami (Dengan banyak informasi kartu kredit!) Di internet untuk dilihat semua orang.
Database penagihan kami ada di alamat IPv4 publik, dan telah ada selama seluruh keberadaannya, tetapi kami memiliki bukti bahwa Anda tidak bisa sampai di sana dari sini. Hanya karena suatu alamat ada pada daftar rute publik v4 tidak berarti itu dijamin akan dikirimkan. Dua firewall antara kejahatan Internet dan port database aktual menyaring kejahatan. Bahkan dari meja saya, di belakang firewall pertama, saya tidak bisa mendapatkan ke database itu.
Informasi kartu kredit adalah satu kasus khusus. Itu tunduk pada standar PCI-DSS, dan standar menyatakan secara langsung bahwa server yang berisi data tersebut harus berada di belakang gateway NAT 1 . Kami adalah, dan ketiga server ini mewakili total penggunaan server kami dari alamat RFC1918. Itu tidak menambahkan keamanan apa pun, hanya lapisan kerumitan, tetapi kita perlu memeriksa kotak centang itu untuk audit.
Ide asli "IPv6 membuat NAT menjadi bagian dari masa lalu" telah diajukan sebelum booming Internet benar-benar mencapai arus utama penuh. Pada tahun 1995 NAT adalah solusi untuk menyiasati alokasi IP kecil. Pada tahun 2005 itu diabadikan dalam banyak dokumen Praktik Terbaik Keamanan, dan setidaknya satu standar utama (PCI-DSS lebih spesifik). Satu-satunya manfaat nyata yang NAT berikan adalah bahwa entitas eksternal yang melakukan pengintaian pada jaringan tidak tahu seperti apa lanskap IP di belakang perangkat NAT (meskipun berkat RFC1918 mereka memiliki tebakan yang baik), dan pada IPv4 bebas-NAT (seperti sebagai pekerjaanku) bukan itu masalahnya. Ini adalah langkah kecil dalam pertahanan, bukan yang besar.
Penggantian untuk alamat RFC1918 adalah apa yang disebut Alamat Lokal Unik. Seperti RFC1918, mereka tidak merutekan kecuali rekan-rekan tertentu setuju untuk membiarkan mereka merutekan. Tidak seperti RFC1918, mereka (mungkin) unik secara global. Penerjemah alamat IPv6 yang menerjemahkan ULA ke IP Global memang ada di roda batas perimeter yang lebih tinggi, jelas belum di roda SOHO.
Anda dapat bertahan dengan baik dengan alamat IP publik. Ingatlah bahwa 'publik' tidak menjamin 'terjangkau', dan Anda akan baik-baik saja.
Pembaruan 2017
Dalam beberapa bulan terakhir, Amazon aws telah menambahkan dukungan IPv6. Itu baru saja ditambahkan ke penawaran amazon-vpc mereka, dan implementasi mereka memberikan beberapa petunjuk tentang bagaimana penyebaran skala besar diharapkan akan dilakukan.
- Anda diberi alokasi / 56 (256 subnet).
- Alokasi adalah subnet yang sepenuhnya dapat dilalui.
- Anda diharapkan untuk menetapkan aturan firewall ( grup keamanan ) dengan benar secara terbatas.
- Tidak ada NAT, bahkan tidak ditawarkan, jadi semua lalu lintas keluar akan datang dari alamat IP yang sebenarnya dari instance.
Untuk menambahkan salah satu manfaat keamanan dari NAT, mereka sekarang menawarkan Gateway Internet Egress-only . Ini menawarkan satu manfaat seperti NAT:
- Subnet di belakangnya tidak dapat langsung diakses dari internet.
Yang menyediakan lapisan pertahanan-dalam-dalam, jika aturan firewall yang salah dikonfigurasi secara tidak sengaja memungkinkan lalu lintas masuk.
Tawaran ini tidak menerjemahkan alamat internal menjadi satu alamat seperti yang dilakukan NAT. Lalu lintas keluar masih akan memiliki IP sumber instance yang membuka koneksi. Operator firewall yang mencari sumber daya daftar putih di VPC akan lebih baik dari netblock yang masuk daftar putih, daripada alamat IP tertentu.
Dapat dirute tidak selalu berarti dapat dijangkau .
1 : Standar PCI-DSS berubah pada Oktober 2010, pernyataan yang mewajibkan alamat RFC1918 dihapus, dan 'isolasi jaringan' menggantikannya.