Публічны прэфікс для VPN-кліентаў: што ён насамрэч ламае

Пул кліентаў, выбраны таму што нумары выглядаюць акуратна, — гэта маршрут, які чакае ўсталявання. Прэфікс не абавязаны быць прыватным, каб VPN працаваў, а выкарыстанне блока, які належыць камусьці іншаму, таксама не раскрывае вашых карыстальнікаў у інтэрнэце аўтаматычна. Што ён робіць — гэта прымушае гэтыя адрасы значыць нешта іншае, пакуль тунель узняты, а потым зноў значыць нешта іншае, калі ён падае. Прайдзіце пяць праверак ніжэй па парадку і спыніцеся там, дзе адказ «прызначана ў іншым месцы».

Прызначэнне — не аб’ява

Размяшчэнне адраса на інтэрфейсе тунеля не аб’яўляе яго ў інтэрнэце. Публічная дасягальнасць патрабуе маршруту, дазволенага шляху і правайдэра, гатовага яго несці, і нічога з гэтага не з’яўляецца таму, што кліент атрымаў адрас з пула. Палітыка фаервала і аўтарызацыя хоста — зноў асобныя рашэнні.

Вось чаму рызыка не такая, як мяркуе большасць. Пазічаны прэфікс не робіць вашых кліентаў дасягальнымі; ён робіць прызначэнні кагосьці іншага недасягальнымі з вашых кліентаў, а гэта іншая адмова з іншым уласнікам. Ніхто не падвяргаецца атацы і ніякая аб’ява не выцякае. Карыстальнік проста не можа адкрыць сайт, які працаваў учора, і ў службы падтрымкі няма прычыны падазраваць пул VPN.

Гэта розніца важная пры выбары пула. Калі б вас турбавала толькі раскрыццё ў інтэрнэце, публічны блок выглядаў бы бяспечным, бо нішто яго не аб’яўляе. Турбуе менавіта лакальны маршрут, які кліент усталёўвае для гэтага прэфікса, і гэты маршрут усталёўваецца незалежна ад таго, ці бачыць яго хтосьці яшчэ.

Што насамрэч захоплівае маршрут кліента

Калі тунель узнімаецца, кліент атрымлівае маршрут для прэфікса пула, і гэты маршрут перамагае маршрут па змаўчанні для кожнага прызначэння ўнутры яго. Запыт да законнага хоста ў гэтым блоку цяпер ідзе ў VPN замест інтэрнэту. Ці ён праваліцца, ці завісне, ці трапіць на няправільны сервер, залежыць ад таго, што робіць ваш бок.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Выканайце пошук з узнятым тунелем і зноў са спушчаным. Адрас азначае адно ў першым выпадку і зусім іншае ў другім, і любая праграма, якая закешавала злучэнне або развязанне імя праз гэты пераход, будзе паводзіць сябе непаслядоўна. Гэтую непаслядоўнасць цяжэй падтрымліваць, чым чыстую адмову, бо яна залежыць ад часу. Карыстальнік, які перападключыцца ў няправільны момант, атрымае іншы досвед, чым той, хто гэтага не робіць.

Вось таксама чаму знаёмы IP-адрас не з’яўляецца доказам асобы. Захоўвайце праверку сертыфіката і імя сервера для сапраўднага прызначэння, бо лікавы адрас, да якога вы дабраліся пяць хвілін таму, цяпер можа належаць іншай размове.

Параўнайце пул з кожнай сеткай, якую вы ведаеце

RFC 1918 выдзяляе тры блокі для прыватнага выкарыстання: 192.168.0.0/16, 172.16.0.0/12 і 10.0.0.0/8. Мільёны асобных арганізацый паўторна іх выкарыстоўваюць, таму «прыватны» — гэта сцвярджэнне аб размеркаванні і ніколі не абяцанне, што ніхто іншы не выбраў тыя ж нумары.

Параўнайце кандыдатаў у пул з офіснымі LAN, хмарнымі VPC, іншымі пуламі VPN, партнёрскімі каналамі і дыяпазонамі, якія ўдаленыя супрацоўнікі хутчэй за ўсё маюць дома. Хатні выпадак — не прычына выдумляць дзіўны прэфікс; гэта прычына трымаць пул малым і дакументаваным.

Узгадніце размеркаванне з тым, хто валодае маршрутызацыяй, і запішыце зваротны шлях у тым жа месцы. Пул, у які ніхто не можа змаршрутызаваць адваротна, — гэта пул, які знойдуць паўторна падчас збою. Змясціце пул у той самы дакумент, што і дыяпазоны пляцовак, а не ў канфігурацыю кліента, якую рэдагаваў толькі адзін чалавек. Менавіта дакумент робіць наступнае сутыкненне пазбежным.

Калі публічная адрасацыя — правільны адказ

Арганізацыі з правільна размеркаванай глабальнай прасторай цалкам могуць пабудаваць пул VPN з публічнай адрасацыяй, і некаторыя робяць гэта свядома, каб пазбегнуць трансляцыі. Гэты дызайн усё яшчэ патрабуе маршрутызацыі, праверкі крыніцы, правілаў доступу і аўтэнтыфікацыі кліентаў; размеркаванне не дае нічога з гэтага.

Што яно дае — гэта унікальнасць, уласцівасць, якой пазбачаны пазічаны прэфікс. Калі вы валодаеце блокам, маршрут, які ўсталёўвае ваш кліент, паказвае на адрасы, якія сапраўды вашыя, і сэнс не змяняецца, калі тунель падае.

Не дадавайце NAT аўтаматычна, каб кампенсаваць выбар пула. Маршрутызаваны прыватны дызайн з яўнымі зваротнымі маршрутамі чысцейшы за трансляцыю, ужытую таму, што адрасацыя ніколі не планавалася, а IPv6 патрабуе ўласнага свядомага плана, а не копіі меркаванняў IPv4.

Выведзіце дрэнны пул з эксплуатацыі, не страціўшы доступ

Калі пул ужо разгорнуты, праведзіце інвентарызацыю перад зменай: рэзерваванні адрасоў, усталяваныя маршруты, запісы DNS, якія развязваюцца ў блок, абсягі фаервала і праграмы, якія ад іх залежаць. Затым заплануйце змену з той жа акуратнасцю, што і любы іншы пераход маршрутызацыі. Абвясціце яе людзям, якія гэта заўважаць, бо іх сеансы абарвуцца, калі пул пераедзе. Маўклівая змена адрасацыі кліентаў спараджае заяўкі ў падтрымку, якія выглядаюць не звязанымі з працай.

Захавайце шлях аднаўлення, які не залежыць ад пула, які вы выдаляеце, бо момант, калі вы яго адклікаеце, — гэта момант, калі ваш аддалены доступ можа знікнуць разам з ім. Пасля праверце абодва кірункі: прызначаныя прыватныя прызначэнні ўсё яшчэ працуюць, а інтэрнэт-прызначэнні, якія раней захопліваліся, цяпер развязваюцца ў сваіх сапраўдных уласнікаў.

Вы хочаце пул, які сеткавая каманда можа размеркаваць, маршрутызаваць і вывесці як адну цэласную рэч. Формат адраса сам па сабе не забяспечвае ні бяспекі, ні злучэння.