Veřejný prefix pro VPN klienty: co vlastně rozbíjí

Pula klientů vybraná proto, že čísla vypadají úhledně, je trasa čekající na instalaci. Prefix nemusí být privátní, aby VPN fungovala, a použití bloku, který patří někomu jinému, také automaticky nevystavuje vaše uživatele internetu. Dělá to, že tyto adresy po dobu, kdy je tunel nahoře, znamenají něco jiného a pak zase něco jiného, když spadne. Projděte níže uvedených pět kontrol v pořadí a zastavte se tam, kde je odpověď „přiděleno jinde“.

Přidělení není oznámení

Umístění adresy na rozhraní tunelu ji internetu neoznamuje. Veřejná dosažitelnost potřebuje trasu, autorizovanou cestu a poskytovatele ochotného ji nést, a nic z toho se neobjeví tím, že klient dostal adresu z puly. Politika firewallu a autorizace hostitele jsou zase samostatná rozhodnutí.

Proto riziko není to, co většina lidí předpokládá. Vypůjčený prefix nečiní vaše klienty dosažitelnými; činí cíle někoho jiného nedosažitelnými z vašich klientů, což je jiná porucha s jiným vlastníkem. Nikdo není napaden a žádné oznámení neuniká. Uživatel prostě nemůže otevřít stránku, která včera fungovala, a helpdesk nemá důvod podezřívat VPN pulu.

Rozdíl je důležitý při volbě puly. Kdyby vás zajímalo jen vystavení internetu, veřejný blok by vypadal bezpečně, protože ho nic neoznamuje. Jde o lokální trasu, kterou klient pro tento prefix instaluje, a ta se instaluje bez ohledu na to, zda ji někdo jiný vidí.

Co klientská trasa skutečně zachytává

Když tunel naskočí, klient dostane trasu pro prefix puly a tato trasa poráží výchozí trasu pro každý cíl uvnitř něj. Požadavek na legitimního hostitele v tomto bloku nyní jde do VPN místo na internet. Zda selže, zasekne se nebo dorazí na špatný server, závisí na tom, co s ním dělá vaše strana.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Spusťte vyhledání s tunelem nahoře a znovu s tunelem dole. Adresa znamená v prvním případě jedno a ve druhém něco úplně jiného, a každá aplikace, která si přes tento přechod uložila spojení nebo překlad jména, se bude chovat nekonzistentně. Tato nekonzistence se podporuje hůř než čisté selhání, protože závisí na časování. Uživatel, který se znovu připojí ve špatný okamžik, má jiný zážitek než ten, kdo to neudělá.

Proto ani známá IP adresa není důkazem identity. Pro skutečný cíl si ponechte ověření certifikátu a jména serveru, protože číselná adresa, na kterou jste se dostali před pěti minutami, teď může patřit jiné konverzaci.

Porovnejte pulu s každou sítí, kterou znáte

RFC 1918 vyčleňuje tři bloky pro soukromé použití: 192.168.0.0/16, 172.16.0.0/12 a 10.0.0.0/8. Miliony samostatných organizací je znovu používají, takže privátní je tvrzení o přidělování a nikdy ne slib, že stejná čísla nezvolil nikdo jiný.

Porovnejte kandidátskou pulu s kancelářskými LAN, cloudovými VPC, jinými VPN pulami, partnerskými spoji a rozsahy, které vzdálení pracovníci pravděpodobně mají doma. Domácí případ není důvodem vymýšlet podivný prefix; je důvodem udržet pulu malou a zdokumentovanou.

Slaďte přidělení s tím, kdo vlastní směrování, a zaznamenejte zpáteční cestu na stejném místě. Pula, do které nikdo nedokáže směrovat zpět, je pula, která bude během výpadku znovu objevena. Umístěte pulu do stejného dokumentu jako rozsahy lokalit, ne do klientské konfigurace, kterou upravoval jen jeden člověk. Dokument je to, co činí další kolizi vyhnutelnou.

Kdy je veřejné adresování správná odpověď

Organizace s řádně přiděleným globálním prostorem mohou klidně postavit VPN pulu s veřejnými adresami a některé to dělají záměrně, aby se vyhnuly překladu. Tento návrh stále potřebuje směrování, validaci zdroje, pravidla přístupu a autentizaci klientů; přidělení nedodává nic z toho.

Co dodává, je jedinečnost, vlastnost, která vypůjčenému prefixu chybí. Pokud blok vlastníte, trasa, kterou váš klient instaluje, ukazuje na adresy, které jsou skutečně vaše, a význam se při pádu tunelu nemění.

Nepřidávejte NAT automaticky, abyste kompenzovali volbu puly. Směrovaný privátní návrh s explicitními zpátečními trasami je čistší než překlad použitý proto, že adresování nebylo nikdy naplánováno, a IPv6 potřebuje vlastní záměrný plán, ne kopii předpokladů IPv4.

Vyřaďte špatnou pulu, aniž byste ztratili přístup

Pokud je pula už nasazená, udělejte inventuru, než ji změníte: rezervace adres, nainstalované trasy, záznamy DNS, které se překládají do bloku, rozsahy firewallu a aplikace, které na nich závisí. Potom změnu naplánujte se stejnou péčí jako každý jiný přechod směrování. Oznamte ji lidem, kteří si toho všimnou, protože jejich relace spadnou, když se pula přesune. Tichá změna adresování klientů generuje tikety podpory, které vypadají nesouvisející s prací.

Zachovejte cestu obnovy, která nezávisí na pule, kterou odstraňujete, protože okamžik, kdy ji stáhnete, je okamžikem, kdy s ní může zmizet váš vzdálený přístup. Poté ověřte oba směry: zamýšlené privátní cíle stále fungují a internetové cíle, které se dříve zachytávaly, se nyní překládají na své skutečné vlastníky.

Chcete pulu, kterou síťový tým může přidělit, směrovat a vyřadit jako jednu soudržnou věc. Formát adresy sám o sobě nezakládá ani bezpečnost, ani konektivitu.