Локальный адрес канала связи

Первую архитектуру адресации IPv6 опубликовали в декабре 1995 года: в ней за префиксом fe80::/10 закрепили адреса «для использования по каналу», которые узел создаёт на каждом интерфейсе самостоятельно^[4]. Вслед за ней в декабре 1998 года вышел стандарт автоконфигурации без сервера: узел объединяет префикс канала с идентификатором интерфейса и проверяет результат на дубликаты, не обращаясь к серверу^[10]. Действующая архитектура адресации, утверждённая в феврале 2006 года, сохранила диапазон без изменений и прямо требует, чтобы каждый интерфейс имел хотя бы один локальный адрес^[2].

В ту же эпоху сложились служебные механизмы. Протокол обнаружения соседей, работающий в IPv6 вместо ARP — прежнего механизма разрешения в Ethernet и других средах, — описан в сентябре 2007 года; все его сообщения отправляются с локальных адресов и адресуются на локальные же^[6][11]. Утверждённый в 2007 году стандарт автоконфигурации заменил редакцию 1998 года. Тогда же стали стандартами уточнённая автоконфигурация и временные адреса, которые периодически сменяются, чтобы узел нельзя было отслеживать по одному и тому же идентификатору интерфейса^[3][12].

В IPv4 запасной механизм появился раньше стандарта: выпуск Windows 98 назначал интерфейсу адрес вида 169.254.x.y, когда сервер DHCP не отвечал, а организация IANA закрепила диапазон 169.254.0.0—169.254.255.255 за автоматическим частным адресованием; адрес показывали утилитой winipcfg, позднее — ipconfig^[5]. В мае 2005 года Инженерный совет Интернета выпустил стандарт с правилами выбора адреса, проверкой дубликатов зондами ARP и запретом маршрутизации таких пакетов^[1]. Отдельной темой стандарта стало соединение двух сетей, в которых одни и те же адреса уже используются^[1]. В марте того же года архитектура разделила адрес и зону его действия: один и тот же локальный адрес разрешён на каждом канале узла, а приложения обязаны уточнять канал^[13].

Поздние уточнения коснулись способа порождения второй половины IPv6-адреса. Схема EUI-64 выводила идентификатор интерфейса из MAC-адреса, из-за чего узел можно было узнавать в разных сетях по одному и тому же суффиксу^[14]. В апреле 2014 года предложили строить идентификатор из хеша имени сети, а рекомендация февраля 2017 года закрепила отказ от значений, производных от MAC-адреса^[15][16].

Диапазон 169.254.0.0/16 занимает первые 16 бит, маска подсети равна 255.255.0.0^[5]. Стандарт запрещает делить префикс 169.254/16 на более мелкие подсети: границы канала совпадают с границами диапазона^[1]. Для узлов доступны 65024 адреса: два крайних блока по 256 значений (169.254.0.0—169.254.0.255 и 169.254.255.0—169.254.255.255) зарезервированы и узлам не назначаются^[1], поэтому полезный объём составляет ${\displaystyle 2^{16}-2\cdot 2^{8}=65024}$. Префикс одинаков для всех соседей, поэтому адрес целиком определяется номером узла, выбранным псевдослучайно^[1]. Резервирование двух крайних блоков гарантирует, что локальный адрес не совпадёт с маршрутизируемым блоком той же сети^[5]. Разработчики оценили механизм для сетей с небольшим числом узлов: пул в 65024 значений при объединении двух небольших сообществ даёт малую вероятность конфликта, а при более чем тысяче узлов она становится заметной^[1]. Основой для выбора служит псевдослучайное число; если у узла есть постоянные данные, генератор учитывает их, чтобы повторные включения давали тот же адрес^[1]. Правило запрета выпуска за канал действует и тогда, когда пакет адресован группе соседей: пакеты с локальным отправителем не пересылаются даже при многоадресной рассылке получателю^[1]. Правило запрета выпуска упрощает и сами узлы: любое значение из блока 169.254/16 можно считать находящимся на канале и напрямую достижимым^[1].

Префикс fe80::/10 задаёт первые десять бит, 1111 1110 10; за ними следуют 54 нулевых бита и 64-битный идентификатор интерфейса, который узел выбирает одним из способов, описанных ниже^[2]. В пределах канала адрес записывается сокращённо: fe80::идентификатор с длиной префикса 64^[2]. Объём адресного пространства протокола огромен: ${\displaystyle 2^{128}\approx 3{,}4\cdot 10^{38}}$ возможных значений, поэтому даже служебные диапазоны не ощущаются теснотой^[17]. Интерфейсам, которые ничего не отправляют за пределы канала, значений большего охвата может не быть вовсе, и локальный адрес остаётся единственным^[2]. Средние нулевые группы сокращают парой двоеточий: развёрнутая форма FE80:0:0:0:2AA:FF:FE9A:4CA2 равна краткой fe80::2AA:FF:FE9A:4CA2^[18]. Локальный адрес обязателен: интерфейс, работающий с IPv6, создаёт его при включении независимо от того, есть ли у узла глобальные^[18][2][3].

Узел IPv4 начинает работу с обращения к серверу DHCP. Если ответа нет, включается режим автоматического частного адресования (APIPA): узел выбирает адрес из диапазона 169.254.0.0/16 псевдослучайно и проверяет его зондами ARP — по умолчанию тремя пробами с интервалом от одной до двух секунд^[1]. Проба устроена так: выдержав случайную паузу, узел отправляет серию ARP-запросов с предлагаемым значением в поле искомого; любой попавшийся ответ — запрос это или объявление — означает занятость, и узел обязан выбрать другое значение и повторить проверку^[1]. В Windows этот режим виден в выводе команды ipconfig как адрес 169.254.x.y с маской 255.255.0.0; о работе режима судят по строкам о включённой автоконфигурации и автоматическом назначении^[5]. Маршрутизаторы пакеты с таким отправителем не пересылают, поэтому связь возможна только с соседями по каналу — с теми, кто настроился тем же способом или задал себе значение вручную в той же группе 169.254/16^[1][5].

Интерфейс IPv6 создаёт локальный адрес при каждом включении, до всякого контакта с маршрутизатором; в литературе режим носит название автоконфигурации без отслеживания состояния (SLAAC)^[3][19]. Узел строит предварительный адрес из префикса fe80::/64 и идентификатора интерфейса, затем запускает обнаружение дубликатов: пробный адрес опрашивается сообщением запроса соседа, и ответ на него свидетельствует о занятости^[3]. Пока проверка идёт, значение считается предварительным: адаптер не принимает пакеты, предназначенные ему, но принимает служебные сообщения обнаружения соседей о нём; если дубликат не найден, узел закрепляет адрес за собой^[3]. Дождавшись объявления маршрутизатора, узел получает префиксы канала и строит из них глобальные, а локальный адрес остаётся служебной основой связи^[6][3]. Обмен устроен по схеме «запрос — объявление»: узел рассылает запрос, маршрутизатор отвечает сообщением с сетевой частью префикса и своим значением как адресом основного шлюза^[19]. Повторный конфликт стандарт разрешает только ручной настройкой^[14].

Классическая схема EUI-64 выводит 64-битный идентификатор из 48-битного MAC-адреса: в середину вставляются байты FF-FE, а седьмой бит первого байта инвертируется; при стандартном назначении производителя инверсия сводится к прибавлению 02 к первому байту^[14]. Так, адаптер 00-AA-00-3F-2A-1C получает суффикс 2AA:FF:FE3F:2A1C и локальный адрес fe80::2AA:FF:FE3F:2A1C^[14]. Удобство оборачивается риском для приватности: суффикс переезжает вместе с узлом из сети в сеть и позволяет связывать его активность в разных местах^[12]. Первым ответом стали временные адреса: их суффиксы периодически порождаются заново и сменяются, что затрудняет привязку активности к узлу^[12]. Затем появились стабильные случайные идентификаторы: они вычисляются хеш-функцией из сетевого префикса, имени интерфейса и секретного ключа узла, постоянны внутри одной сети, но не раскрывают производителя и серийный номер оборудования^[15]. Рекомендация 2017 года предписывает производителям применять именно такие значения вместо производных от MAC^[16].

Служебные протоколы IPv6 на канале целиком опираются на локальные адреса. Запросы и объявления обнаружения соседей отправляются и адресуются локально, внутри одного сегмента^[6]. Выбор следующего перехода — отдельная задача протокола: им оказывается либо сам получатель, либо шлюз^[6]. Шлюз в каждом объявлении передаёт свой локальный адрес, и узел записывает его как следующий переход к внешним сетям, а отправляя пакет наружу, вручает его именно этому шлюзу^[6]. Протокол также следит за достижимостью соседей и замечает, когда кто-то из них, включая шлюз, перестаёт отвечать; в таком случае узел переключается на другой маршрутизатор канала^[6]. Благодаря этому связь внутри канала и с шлюзом не зависит от серверов адресации и сохраняется даже тогда, когда других значений у узла нет^[3].

Локальный адрес сам по себе не определяет канал: один и тот же адрес fe80::15 разрешён на нескольких интерфейсах узла, например на проводном и беспроводном^[13]. Поэтому архитектура вводит идентификатор зоны — уточняющую канал приписку; в записи его отделяет знак процента: ping fe80::15%eth0^[13]. В Linux утилита ip address помечает локальные адреса меткой scope link^[20]. В Windows его индекс показывает ipconfig и команда netsh interface ipv6 show interface^[21]. Для проверки связи команде ping передают адрес соседа и номер канала после знака процента; вызов выглядит как ping fe80::15%4 — с номером вместо имени. При неудаче предписывается сверить адрес и индекс^[21]. В той же группе запрошенного узла работает многоадресная рассылка: для адреса fe80::2AA:FF:FE28:9C5A узел слушает группу FF02::1:FF28:9C5A. Поэтому запрос соседа достаётся не всем участникам канала, а лишь узлам, чьи значения кончаются одинаково^[18]. Служебная роль этих значений шире диагностики: в производственных сетях автоматическая настройка оконечного оборудования по объявлениям маршрутизатора идёт по ним, поэтому подмена на этом обмене выводит из строя связь с основным шлюзом предприятия^[19].

Сообщения обнаружения соседей по умолчанию не аутентифицируются, поэтому узел верит каждому входящему объявлению^[6]. Злоумышленник, подключённый к той же сети, отправляет от имени шлюза ложные сообщения и перехватывает трафик соседей с подменой адресов (атака «человек посередине») либо вынуждает оконечное оборудование считать его основным шлюзом^[19]. Описана и разведка: атакующий запросом объявления, отправленным от имени оконечного оборудования, узнаёт шлюз и его приоритет, а затем объявляет себя с более высокой ступенью, и узлы обновляют свои таблицы в пользу подмены^[19]. Ступени при этом задуманы для пользы дела: назначая соседним шлюзам уровни «низкий — средний — высокий», администратор строит отказоустойчивость, где при отказе главного шлюза его роль принимает резервный^[19]. Ещё один приём — отключённая проверка дубликатов: умышленно создав в канале два устройства с одинаковым значением, но разными MAC-адресами, атакующий перетягивает на себя чужой трафик^[19]. Атаки наводнения фальшивыми объявлениями выводят из строя выбор шлюза у всех узлов сегмента^[22]. Другой приём бьёт по той же процедуре: злоумышленник отвечает на каждый чужой зонд, из-за чего сосед так и не может получить адрес. Конфликт значений и отказы процедуры остаются предметом новых работ: предложены средства, отличающие такой отказ в обслуживании от легитимной защиты^[23]. Аналогичные приёмы действуют и в IPv4: подмена ответов ARP остаётся распространённым способом перехвата данных в локальных сегментах — цель таких действий состоит в том, чтобы перенаправить чужие пакеты через узел злоумышленника^[24].

Простейший рубеж задан самим протоколом обнаружения соседей: узлы принимают только сообщения с предельным числом переходов, равным 255, поэтому отправитель извне канала, прошедший хоть один маршрутизатор, отсекается^[6]. Для сравнения: в IPv4 чужие узлы могли отправлять и перенаправления, и шлюзовые объявления, так что проверка переходов — приобретение нового протокола^[6]. Надёжнее защищённое обнаружение соседей: сообщения снабжаются криптографическими подписями, а адреса узлов порождаются хеш-функцией из их открытых ключей; в обмене участвуют и шлюзы, и оконечное оборудование, что добавляет нагрузки обеим сторонам^[25]. Широкому применению таких подписей мешает нагрузка на оборудование, поэтому на практике чаще ограничиваются средствами коммутаторов: доверенными портами, выделением VLAN, списками контроля доступа и фильтрацией шлюзовых объявлений (RA Guard)^[19]. Сегментация уменьшает круг устройств, которым вообще доступен служебный обмен^[19]. Динамические механизмы выявляют наводнение объявлениями по активности отправителей и отключают атакующий порт^[22]. Для каналов с повышенными требованиями трафик локальной связи защищают IPsec; применимость показана именно для локальных адресов IPv6, хотя настройка сопряжена с организационными трудностями^[26]. Средства обнаружения атак на автоконфигурацию распознают поддельные сообщения в локальной сети и повышают стоимость такой атаки^[27].