’n Openbare voorvoegsel vir VPN-kliënte: wat dit werklik breek

'n Kliëntpoel wat gekies is omdat die nommers netjies lyk, is 'n roete wat wag om geïnstalleer te word. Die voorvoegsel hoef nie privaat te wees vir die VPN om te werk nie, en die gebruik van 'n blok wat aan iemand anders behoort, stel jou gebruikers ook nie outomaties aan die internet bloot nie. Wat dit doen, is om daardie adresse iets anders te laat beteken vir solank die tonnel op is, en dan weer iets anders wanneer dit val. Werk deur die vyf kontroles hieronder in volgorde en stop waar die antwoord “elders toegewys” is.

Toewysing is nie aankondiging nie

Om 'n adres op 'n tonnelkoppelvlak te sit, kondig dit nie aan die internet aan nie. Openbare bereikbaarheid vereis 'n roete, 'n gemagtigde pad en 'n verskaffer wat bereid is om dit te dra, en nie een daarvan verskyn omdat 'n kliënt die adres van 'n poel ontvang het nie. Brandmuurbeleid en gasheermagtiging is weer aparte besluite.

Dit is waarom die risiko nie is wat die meeste mense aanvaar nie. Die geleende voorvoegsel maak nie jou kliënte bereikbaar nie; dit maak iemand anders se bestemmings onbereikbaar van jou kliënte af, wat 'n ander fout is met 'n ander eienaar. Niemand word aangeval nie en geen aankondiging ontsnap nie. 'n Gebruiker kan eenvoudig nie 'n webwerf oopmaak wat gister gewerk het nie, en die helpdesk het geen rede om die VPN-poel te vermoed nie.

Die onderskeid maak saak wanneer jy 'n poel kies. As jou enigste bekommernis blootstelling aan die internet was, sou 'n openbare blok veilig lyk omdat niks dit aankondig nie. Die bekommernis is die plaaslike roete wat die kliënt vir daardie voorvoegsel installeer, en daardie roete word geïnstalleer of iemand anders dit kan sien of nie.

Wat die kliëntroete werklik vasvang

Wanneer die tonnel opkom, ontvang die kliënt 'n roete vir die poel se voorvoegsel, en daardie roete wen oor die verstekroete vir elke bestemming daarbinne. 'n Versoek na 'n wettige gasheer in daardie blok gaan nou na die VPN in plaas van die internet. Of dit misluk, hang of by die verkeerde bediener uitkom, hang af van wat jou kant daarmee doen.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Voer die opsoek uit met die tonnel op en weer met dit af. Die adres beteken een ding in die eerste geval en iets heeltemal anders in die tweede, en enige toepassing wat 'n verbinding of 'n naamoplossing oor daardie oorgang gestoor het, sal inkonsekwent optree. Daardie inkonsekwentheid is moeiliker om te ondersteun as 'n skoon mislukking, want dit hang van tydsberekening af. 'n Gebruiker wat op die verkeerde oomblik weer koppel, kry 'n ander ervaring as een wat dit nie doen nie.

Dit is ook waarom 'n bekende IP-adres nie 'n bewys van identiteit is nie. Hou sertifikaat- en bedienernaamvalidering vir die werklike bestemming, want die numeriese adres wat jy vyf minute gelede bereik het, kan nou aan 'n ander gesprek behoort.

Vergelyk die poel met elke netwerk wat jy ken

RFC 1918 hou drie blokke vir privaat gebruik af: 192.168.0.0/16, 172.16.0.0/12 en 10.0.0.0/8. Miljoene afsonderlike organisasies hergebruik hulle, so privaat is 'n stelling oor toewysing en nooit 'n belofte dat niemand anders dieselfde nommers gekies het nie.

Vergelyk die kandidaatpoel met kantoor-LAN's, wolk-VPC's, ander VPN-poole, vennootskakels en die reekse wat afstandswerkers waarskynlik by die huis het. Die tuisgeval is nie 'n rede om 'n vreemde voorvoegsel te bedink nie; dit is 'n rede om die poel klein en gedokumenteer te hou.

Koördineer die toewysing met wie ook al die roetebepaling besit, en teken die terugpad op dieselfde plek aan. 'n Poel waarna niemand kan terugroeteer nie, is 'n poel wat tydens 'n onderbreking herontdek sal word. Sit die poel in dieselfde dokument as die werfreekse, nie in 'n kliëntkonfigurasie wat net een persoon geredigeer het nie. Die dokument is wat die volgende botsing vermybaar maak.

Wanneer openbare adressering die regte antwoord is

Organisasies met behoorlik toegewysde globale ruimte kan beslis 'n openbaar geadresseerde VPN-poel bou, en sommige doen dit doelbewus om vertaling te vermy. Daardie ontwerp benodig steeds roetebepaling, bronvalidering, toegangsreëls en kliëntverifikasie; die toewysing lewer nie een daarvan nie.

Wat dit wel lewer, is uniekheid, die eienskap wat die geleende voorvoegsel kort. As jy die blok besit, wys die roete wat jou kliënt installeer na adresse wat werklik joune is, en die betekenis verander nie wanneer die tonnel val nie.

Moenie NAT outomaties byvoeg om 'n poelkeuse te vergoed nie. 'n Gerouteerde private ontwerp met eksplisiete terugroetes is skoner as vertaling wat toegepas word omdat die adressering nooit beplan is nie, en IPv6 benodig sy eie doelbewuste plan eerder as 'n kopie van die IPv4-aannames.

Onttrek 'n slegte poel sonder om toegang te verloor

As die poel reeds ontplooi is, maak 'n inventaris voordat jy dit verander: adresbesprekings, geïnstalleerde roetes, DNS-rekords wat in die blok oplos, brandmuuromvang en die toepassings wat daarvan afhanklik is. Beplan dan die verandering met dieselfde sorg as enige ander roetebepaling-oorskakeling. Kondig dit aan die mense wat dit sal raaksien, want hulle sessies sal val wanneer die poel skuif. 'n Stil verandering aan kliëntadressering genereer ondersteuningskaartjies wat onverwant aan die werk lyk.

Bewaar 'n herstelpad wat nie afhang van die poel wat jy verwyder nie, want die oomblik dat jy dit onttrek, is die oomblik dat jou afstandtoegang daarmee kan verdwyn. Valideer daarna beide rigtings: die beoogde private bestemmings werk steeds, en die internetbestemmings wat voorheen gevang is, los nou na hul werklike eienaars op.

Wat jy wil hê, is 'n poel wat die netwerkspan as een samehangende ding kan toewys, roeteer en onttrek. 'n Adresformaat op sigself vestig nóg veiligheid nóg verbinding.