Публичен префикс за VPN клиенти: какво всъщност чупи

Пул от клиенти, избран, защото числата изглеждат подредени, е маршрут, който чака да бъде инсталиран. Префиксът не е нужно да е частен, за да работи VPN, а използването на блок, който принадлежи на някой друг, също не излага автоматично потребителите ви в интернет. Това, което прави, е да накара тези адреси да означават нещо различно, докато тунелът е вдигнат, и после отново да означават друго, когато падне. Преминете през петте проверки по-долу по ред и спрете там, където отговорът е „възложено другаде“.

Възлагането не е обявление

Поставянето на адрес върху интерфейс на тунел не го обявява в интернет. Публичната достъпност изисква маршрут, разрешен път и доставчик, готов да го носи, и нищо от това не се появява, защото клиент е получил адреса от пул. Политиката на защитната стена и оторизацията на хоста са отново отделни решения.

Ето защо рискът не е това, което повечето хора предполагат. Заетият префикс не прави клиентите ви достъпни; той прави дестинациите на някой друг недостъпни от вашите клиенти, което е различна повреда с различен собственик. Никой не е атакуван и никакво обявление не изтича. Потребителят просто не може да отвори сайт, който е работел вчера, и помощното бюро няма причина да подозира пула на VPN.

Разликата е важна, когато избирате пул. Ако единствената ви грижа беше излагането в интернет, публичният блок би изглеждал безопасен, защото нищо не го обявява. Грижата е локалният маршрут, който клиентът инсталира за този префикс, и този маршрут се инсталира независимо дали някой друг го вижда.

Какво всъщност прихваща маршрутът на клиента

Когато тунелът се вдигне, клиентът получава маршрут за префикса на пула и този маршрут побеждава маршрута по подразбиране за всяка дестинация в него. Заявка към законен хост в този блок сега отива към VPN вместо към интернет. Дали ще се провали, ще завърти или ще стигне до грешен сървър, зависи от това какво прави вашата страна с нея.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Изпълнете търсенето с вдигнат тунел и отново със свален. Адресът означава едно в първия случай и нещо напълно различно във втория, и всяко приложение, което е кеширало връзка или разрешаване на име през този преход, ще се държи непоследователно. Тази непоследователност е по-трудна за поддръжка от чист провал, защото зависи от времето. Потребител, който се свърже отново в грешния момент, получава различно изживяване от този, който не го направи.

Ето защо познат IP адрес не е доказателство за самоличност. Запазете проверката на сертификата и името на сървъра за истинската дестинация, защото числовият адрес, до който сте стигнали преди пет минути, сега може да принадлежи на друг разговор.

Сравнете пула с всяка мрежа, която познавате

RFC 1918 отделя три блока за частно използване: 192.168.0.0/16, 172.16.0.0/12 и 10.0.0.0/8. Милиони отделни организации ги използват повторно, затова „частен“ е твърдение за разпределението и никога обещание, че никой друг не е избрал същите числа.

Сравнете кандидат-пула с офис LAN мрежи, облачни VPC, други VPN пулове, партньорски връзки и диапазоните, които отдалечените служители вероятно имат у дома. Домашният случай не е причина да измислите странен префикс; той е причина да държите пула малък и документиран.

Координирайте разпределението с този, който притежава маршрутизацията, и запишете обратния път на същото място. Пул, към който никой не може да маршрутизира обратно, е пул, който ще бъде открит отново по време на прекъсване. Поставете пула в същия документ като диапазоните на обектите, а не в клиентска конфигурация, която само един човек е редактирал. Документът е това, което прави следващия сблъсък избежим.

Кога публичната адресация е правилният отговор

Организациите с правилно разпределено глобално пространство могат напълно да изградят VPN пул с публична адресация и някои го правят умишлено, за да избегнат транслация. Този дизайн все още се нуждае от маршрутизация, валидиране на източника, правила за достъп и удостоверяване на клиента; разпределението не осигурява нито едно от тях.

Това, което осигурява, е уникалност — свойството, което заетият префикс няма. Ако притежавате блока, маршрутът, който клиентът ви инсталира, сочи към адреси, които наистина са ваши, и значението не се променя, когато тунелът падне.

Не добавяйте NAT автоматично, за да компенсирате избор на пул. Маршрутизиран частен дизайн с явни обратни маршрути е по-чист от транслация, приложена, защото адресацията никога не е била планирана, а IPv6 се нуждае от собствен умишлен план, а не от копие на предположенията на IPv4.

Изведете лош пул от употреба, без да губите достъп

Ако пулът вече е внедрен, направете инвентаризация, преди да го промените: резервации на адреси, инсталирани маршрути, DNS записи, които се разрешават в блока, обхвати на защитната стена и приложенията, които зависят от тях. След това планирайте промяната със същото внимание, както всеки друг преход на маршрутизация. Обявете я на хората, които ще забележат, защото сесиите им ще паднат, когато пулът се премести. Тихото изменение на адресацията на клиентите генерира заявки за поддръжка, които изглеждат несвързани с работата.

Запазете път за възстановяване, който не зависи от пула, който премахвате, защото моментът, в който го оттеглите, е моментът, в който отдалеченият ви достъп може да изчезне с него. След това проверете двете посоки: предвидените частни дестинации все още работят, а интернет дестинациите, които преди се прихващаха, сега се разрешават към истинските си собственици.

Искате пул, който мрежовият екип може да разпредели, маршрутизира и изведе като едно свързано цяло. Форматът на адреса сам по себе си не установява нито безопасност, нито свързаност.