VPN müştəriləri üçün ictimai prefiks: əslində nəyi pozur

Rəqəmlər səliqəli göründüyü üçün seçilmiş müştəri hovuzu quraşdırılmağı gözləyən bir marşrutdur. VPN-in işləməsi üçün prefiksin şəxsi olması vacib deyil və başqasına məxsus blokdan istifadə də istifadəçilərinizi avtomatik olaraq internetə ifşa etmir. Etdiyi şey, tunel qalxarkən həmin ünvanların fərqli bir şey bildirməsinə, tunel düşəndə isə yenidən başqa bir şey bildirməsinə səbəb olmaqdır. Aşağıdakı beş yoxlamanı sıra ilə keçin və cavab «başqa yerdə təyin edilib» olan yerdə dayanın.

Təyinat elan deyil

Ünvanı tunel interfeysinə qoymaq onu internetdə elan etmir. İctimai əldə edilə bilmə marşrut, icazəli yol və onu daşımağa hazır provayder tələb edir və bunların heç biri müştərinin ünvanı hovuzdan alması ilə yaranmır. Firewall siyasəti və host icazəsi yenə ayrı qərarlardır.

Buna görə risk çoxlarının güman etdiyi şey deyil. Borç alınmış prefiks müştərilərinizi əlçatan etmir; başqasının təyinatlarını sizin müştərilərinizdən əlçatmaz edir və bu, sahibi fərqli olan başqa bir nasazlıqdır. Heç kimə hücum edilmir və heç bir elan xaricə çıxmır. İstifadəçi sadəcə dünən işləyən saytı aça bilmir və dəstək xidmətinin VPN hovuzundan şübhələnməsi üçün heç bir səbəb yoxdur.

Hovuz seçərkən bu fərq vacibdir. Yeganə narahatlığınız internetə ifşa olsaydı, ictimai blok təhlükəsiz görünərdi, çünki onu heç nə elan etmir. Narahatlıq müştərinin həmin prefiks üçün quraşdırdığı yerli marşrutdur və bu marşrut başqasının onu görməsindən asılı olmayaraq quraşdırılır.

Müştəri marşrutu əslində nəyi tutur

Tunel qalxanda müştəri hovuzun prefiksi üçün marşrut alır və bu marşrut içindəki hər təyinat üçün standart marşrutu üstələyir. Həmin blokdakı qanuni hosta sorğu indi internetə deyil, VPN-ə gedir. Uğursuz olması, asılması və ya səhv serverə çatması sizin tərəfinizdə bununla nə etdiyindən asılıdır.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Axtarışı tunel qalxmış və yenidən düşmüş halda icra edin. Ünvan birinci halda bir şey, ikincidə isə tamamilə başqa bir şey bildirir və bu keçid boyunca bağlantını və ya ad həllini keşləyən hər hansı tətbiq qeyri-ardıcıl davranacaq. Bu qeyri-ardıcıllığı dəstəkləmək təmiz nasazlıqdan daha çətindir, çünki vaxtdan asılıdır. Səhv anda yenidən qoşulan istifadəçi qoşulmayandan fərqli təcrübə alır.

Buna görə də tanış IP ünvanı şəxsiyyət sübutu deyil. Şəhadətnamə və server adı yoxlamasını real təyinat üçün saxlayın, çünki beş dəqiqə əvvəl çatdığınız rəqəmsal ünvan indi başqa söhbətə aid ola bilər.

Hovuzu bildiyiniz hər şəbəkə ilə müqayisə edin

RFC 1918 şəxsi istifadə üçün üç blok ayırır: 192.168.0.0/16, 172.16.0.0/12 və 10.0.0.0/8. Milyonlarla ayrı təşkilat onları yenidən istifadə edir, ona görə də «şəxsi» paylaşdırma ilə bağlı bəyanatdır və heç vaxt başqasının eyni rəqəmləri seçmədiyinə dair vəd deyil.

Namizəd hovuzu ofis LAN-ları, bulud VPC-ləri, digər VPN hovuzları, tərəfdaş bağlantıları və uzaqdan işləyənlərin evdə sahib ola biləcəyi diapazonlarla müqayisə edin. Ev halı qəribə prefiks uydurmaq üçün səbəb deyil; hovuzu kiçik və sənədləşdirilmiş saxlamaq üçün səbəbdir.

Təyinatı marşrutlaşdırmaya sahib olanla əlaqələndirin və qayıdış yolunu eyni yerdə qeyd edin. Heç kimin geri marşrutlaşdıra bilmədiyi hovuz, kəsinti zamanı yenidən kəşf ediləcək hovuzdur. Hovuzu yalnız bir nəfərin redaktə etdiyi müştəri konfiqurasiyasında deyil, sayt diapazonları ilə eyni sənəddə yerləşdirin. Növbəti toqquşmanın qarşısını almağa imkan verən şey sənəddir.

İctimai ünvanlama nə vaxt düzgün cavabdır

Düzgün ayrılmış qlobal məkana sahib təşkilatlar ictimai ünvanlı VPN hovuzu qura bilər və bəziləri bunu tərcümədən qaçmaq üçün qəsdən edir. Bu dizayn hələ də marşrutlaşdırma, mənbə yoxlaması, giriş qaydaları və müştəri autentifikasiyası tələb edir; ayrılma bunların heç birini vermir.

Verdiyi şey unikallıqdır və bu, borç alınmış prefiksdə çatışmayan xüsusiyyətdir. Bloka sahibsinizsə, müştərinizin quraşdırdığı marşrut həqiqətən sizə məxsus ünvanlara işarə edir və tunel düşəndə məna dəyişmir.

Hovuz seçimini kompensasiya etmək üçün NAT-ı avtomatik əlavə etməyin. Açıq qayıdış marşrutları olan marşrutlaşdırılmış şəxsi dizayn, ünvanlama heç vaxt planlaşdırılmadığı üçün tətbiq edilən tərcümədən daha təmizdir və IPv6 IPv4 fərziyyələrinin surətini deyil, öz qəsdən planını tələb edir.

Pis hovuzu girişi itirmədən istifadədən çıxarın

Hovuz artıq yerləşdirilibsə, dəyişməzdən əvvəl inventar aparın: ünvan rezervasiyaları, quraşdırılmış marşrutlar, bloka həll olunan DNS qeydləri, firewall əhatələri və onlardan asılı tətbiqlər. Sonra dəyişikliyi hər hansı digər marşrut keçidindəki kimi diqqətlə planlaşdırın. Bunu fərq edəcək insanlara elan edin, çünki hovuz köçəndə sessiyaları düşəcək. Müştəri ünvanlamasında səssiz dəyişiklik işlə əlaqəsiz görünən dəstək biletləri yaradır.

Çıxardığınız hovuzdan asılı olmayan bərpa yolu saxlayın, çünki onu geri götürdüyünüz an uzaq girişinizin də onunla yox olması anıdır. Sonra hər iki istiqaməti yoxlayın: nəzərdə tutulan şəxsi təyinatlar hələ də işləyir və əvvəllər tutulan internet təyinatları indi əsl sahiblərinə həll olunur.

İstədiyiniz, şəbəkə komandasının vahid bir bütöv kimi ayıra, marşrutlaşdıra və istifadədən çıxara bildiyi hovuzdur. Ünvan formatı tək başına nə təhlükəsizlik, nə də bağlantı yaradır.