Які адрас паказваць у DNS для сервера, падключанага праз VPN?
У разгорнутага сервера ёсць тры адрасы, і яны не ўзаемазаменныя. Выберыце значэнне, якое патрэбна кожнай службе, а затым пацвердзіце яго звонку машыны.
У разгорнутага сервера з усталяваным VPN у рэшце рэшт аказваецца тры адрасы, і толькі адзін з іх належыць кожнаму месцу, якое вы збіраецеся наладзіць. Капіраванне нумара з панэлі правайдера ў DNS, у слухача або ў спіс дазволаў — гэта шлях, на якім працуючы тунэль ператвараецца ў службу, да якой ніхто не можа дабрацца. Гэты дапаможнік упарадкоўвае працу так, каб кожны адрас выбіраўся для заяўленай мэты. Ён таксама пералічвае каманды, якія пацвярджаюць тое, што вы сапраўды апублікавалі.
Складзіце карту трох адрасоў, перш чым нешта публікаваць
Называйце іх па функцыі. Адрас underlay — гэта тое, што машына выкарыстоўвае для доступу да канцавой кропкі VPN праз інтэрнэт, і ён часта прыватны за NAT правайдера. Адрас тунэля жыве ўнутры VPN і выдаецца серверам або кліентам у залежнасці ад прадукту. Публічны выхад — гэта адрас, які аддалены сайт запісвае пасля трансляцыі, і яму не патрэбна існаваць на адным інтэрфейсе, які вы можаце апытаць.
Панэль, якая паказвае адзін публічны адрас для машыны, вельмі мала гаворыць пра дзве іншыя ролі. Даступнасць underlay — гэта патрабаванне, а не пакупка: ноўтбук за хатнім маршрутызатарам можа дабрацца да разгорнутай канцавой кропкі VPN, не валодаючы публічным адрасам IPv4. Чаго вы не можаце, дык гэта прыдумаць уваходны шлях, напісаўшы імя, якое вырашаецца ў адрас, які ніхто не перасылае.
Выбірайце адрас па службе, а не па ярлыку
Запішыце, што сервер павінен рабіць, перш чым выбіраць нумар. Выходным выклікам API патрэбны стабільны выхад, калі процілеглы бок вядзе спіс дазволаў. Прыватнаму доступу патрэбны адрас тунэля, на які кліенты могуць маршрутызаваць, і прывязаны да яго слухач. Публічнаму хосцінгу патрэбна ўваходнае супастаўленне, якое правайдар сапраўды прапануе, і адзін толькі адрас выхаду яго не дае.
Адна машына можа абслугоўваць усе тры мэты і пры гэтым выкарыстоўваць тры розныя адрасы. Ламаецца здагадка, што адно значэнне пакрывае іх усе:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Уваходны радок — той, пра які людзі спрачаюцца. Запіс, які паказвае на адрас выхаду, не стварае слухача, адкрыцця брандмаўэра ці супастаўлення порта, і чаканне гэтага не мяняе. Калі правайдар прадае выдзелены адрас разам з уваходным правілам, гэты пакет і ёсць магчымасць, якую вы купілі; сам адрас не з'яўляецца правам.
Каманды, якія паказваюць, які адрас які
Чытайце машыну, а не панэль. Імёны інтэрфейсаў розныя паміж сістэмамі, таму супастаўляйце адрасы з прыладамі, а не давярайце ярлыку.
Першы радок пералічвае кожны адрас IPv4 і яго прыладу, а другі пытае ў ядра, якую прыладу яно выкарыстала б для вядомага знешняга прызначэння:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Калі пошук маршруту адказвае прыладай тунэля для публічнага трафіку, ваш поўны тунэль дзейнічае. Праверка слухача не менш важная, бо працэс, прывязаны толькі да 127.0.0.1, ніколі не адкажа на адрасе тунэля, якое б імя вы ні апублікавалі.
Апублікуйце яго, затым праверце звонку
Апублікуйце толькі тое значэнне, якое патрэбна службе: запіс A або AAAA для хосцінгу, запіс у спісе дазволаў для выходных выклікаў, профіль кліента для прыватнага доступу. Затым праверце з той пазіцыі, якая важная, і гэта ніколі не машына, якую вы толькі што рэдагавалі.
Дзве праверкі ахопліваюць большую частку, і абедзве дастаткова танныя, каб трымаць іх у скрыпце:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthАдказ DNS, які даказвае існаванне вашага запісу, не даказвае, што запыт даходзіць, а адзін паспяховы запыт даказвае толькі тое, што адзін шлях працуе з адной сеткі. Паўтарыце праверку праз мабільнае злучэнне, калі задзейнічаны спіс дазволаў, бо назіраны выхад можа залежаць ад сям'і адрасоў і абранага маршруту. Запішыце, якую сям'ю вы праверылі; працуючы шлях IPv4 нічога не кажа пра IPv6.
Калі служба ўваходная, адрасу выхаду недастаткова
Уваходнаму доступу патрэбны чатыры ўзгодненыя рэчы: імя або адрас, да якога кліент можа дабрацца, маршрут, які дастаўляе пакет машыне, слухач, які яго прымае, і палітыка, якая яго не адкідвае. VPN змяняе другі элемент і часам першы, а для трэцяга і чацвёртага не робіць нічога. Калі тунэль з'яўляецца шляхам дастаўкі, кліенты падключаюцца да адрасу тунэля, а не да выхаду.
Запішыце, ад якога адрасу залежыць кожная служба, і пераглядайце гэты запіс кожны раз, калі правайдар змяняе сваю мадэль маршрутызацыі. Сервер, які адказвае прыватна і церпіць няўдачу публічна, звычайна не зламаны; ён адказвае пад няправільнай ідэнтычнасцю, і выпраўленне — гэта рашэнне пра супастаўленне, а не змена брандмаўэра.