Un prefix públic per als clients VPN: què és el que realment trenca

Un conjunt de clients triat perquè els números fan goig és una ruta esperant ser instal·lada. El prefix no ha de ser privat perquè la VPN funcioni, i fer servir un bloc que és d'una altra persona tampoc no exposa automàticament els vostres usuaris a internet. El que fa és fer que aquestes adreces significuin una cosa diferent mentre el túnel és actiu, i després una altra cosa quan cau. Feu les cinc comprovacions següents en ordre i atureu-vos on la resposta sigui «assignat en un altre lloc».

Assignar no és anunciar

Posar una adreça en una interfície de túnel no l'anuncia a internet. L'abastabilitat pública necessita una ruta, un camí autoritzat i un proveïdor disposat a portar-la, i res d'això no apareix pel fet que un client hagi rebut l'adreça d'un conjunt. La política del tallafoc i l'autorització de l'amfitrió són una altra vegada decisions separades.

Per això el risc no és el que la majoria de la gent suposa. El prefix manllevat no fa accessibles els vostres clients; fa que les destinacions d'una altra persona no siguin accessibles des dels vostres clients, cosa que és una fallada diferent amb un propietari diferent. Ningú no és atacat i cap anunci no s'escapa. Un usuari simplement no pot obrir un lloc que ahir funcionava, i el servei d'assistència no té cap motiu per sospitar del conjunt de la VPN.

La distinció importa quan trieu un conjunt. Si l'única preocupació fos l'exposició a internet, un bloc públic semblaria segur perquè res no l'anuncia. La preocupació és la ruta local que el client instal·la per a aquest prefix, i aquesta ruta s'instal·la tant si algú altre la pot veure com si no.

Què captura realment la ruta del client

Quan el túnel s'aixeca, el client rep una ruta per al prefix del conjunt, i aquesta ruta guanya la ruta per defecte per a cada destinació que hi és dins. Una petició a un amfitrió legítim d'aquest bloc ara va a la VPN en lloc d'anar a internet. Si falla, es penja o arriba al servidor equivocat depèn del que faci el vostre costat amb ella.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Executeu la consulta amb el túnel aixecat i de nou amb el túnel baixat. L'adreça significa una cosa en el primer cas i una cosa completament diferent en el segon, i qualsevol aplicació que hagi memoritzat una connexió o una resolució de nom durant aquesta transició es comportarà de manera inconsistent. Aquesta inconsistència és més difícil de donar suport que una fallada neta, perquè depèn del moment. Un usuari que es reconnecta en el moment equivocat té una experiència diferent de la d'un que no ho fa.

També per això una adreça IP familiar no és una prova d'identitat. Manteniu la validació del certificat i del nom del servidor per a la destinació real, perquè l'adreça numèrica on vau arribar fa cinc minuts pot pertànyer ara a una conversa diferent.

Compareu el conjunt amb totes les xarxes que conegueu

RFC 1918 reserva tres blocs per a ús privat: 192.168.0.0/16, 172.16.0.0/12 i 10.0.0.0/8. Milions d'organitzacions separades els reutilitzen, així que privat és una afirmació sobre l'assignació i mai no és una promesa que ningú altre no hagi triat els mateixos números.

Compareu el conjunt candidat amb les LAN d'oficina, les VPC del núvol, altres conjunts de VPN, els enllaços de socis i els rangs que els treballadors remots probablement tenen a casa. El cas de casa no és un motiu per inventar un prefix estrany; és un motiu per mantenir el conjunt petit i documentat.

Coordineu l'assignació amb qui posseeix l'encaminament i registreu el camí de tornada al mateix lloc. Un conjunt al qual ningú no pot encaminar de tornada és un conjunt que es redescobrirà durant una incidència. Poseu el conjunt al mateix document que els rangs dels llocs, no en una configuració de client que només ha editat una persona. El document és el que fa evitable la propera col·lisió.

Quan l'adreçament públic és la resposta correcta

Les organitzacions amb espai global assignat correctament poden sens dubte construir un conjunt de VPN amb adreces públiques, i algunes ho fan deliberadament per evitar la traducció. Aquest disseny encara necessita encaminament, validació d'origen, regles d'accés i autenticació de clients; l'assignació no en proporciona cap.

El que sí que proporciona és unicitat, la propietat que al prefix manllevat li falta. Si teniu el bloc, la ruta que instal·la el vostre client apunta a adreces que són genuïnament vostres, i el significat no canvia quan el túnel cau.

No afegiu NAT automàticament per compensar una tria de conjunt. Un disseny privat encaminat amb rutes de tornada explícites és més net que una traducció aplicada perquè l'adreçament mai no es va planificar, i l'IPv6 necessita el seu propi pla deliberat en lloc d'una còpia de les suposicions d'IPv4.

Retireu un conjunt dolent sense perdre l'accés

Si el conjunt ja està desplegat, feu inventari abans de canviar-lo: reserves d'adreces, rutes instal·lades, registres DNS que resolen dins del bloc, abasts del tallafoc i les aplicacions que en depenen. Després programeu el canvi amb la mateixa cura que qualsevol altre canvi d'encaminament. Anuncieu-lo a les persones que ho notaran, perquè les seves sessions cauran quan el conjunt es mogui. Un canvi silenciós en l'adreçament dels clients genera tiquets d'assistència que semblen no relacionats amb la feina.

Preserveu un camí de recuperació que no depengui del conjunt que esteu retirant, perquè el moment en què el retireu és el moment en què el vostre accés remot pot desaparèixer amb ell. Valideu les dues direccions després: les destinacions privades previstes encara funcionen, i les destinacions d'internet que abans es capturaven ara resolen als seus propietaris reals.

El que voleu és un conjunt que l'equip de xarxa pugui assignar, encaminar i retirar com una sola cosa coherent. Un format d'adreça per si sol no estableix ni seguretat ni connectivitat.