Která adresa patří do DNS pro server připojený přes VPN?
Hostovaný server drží tři adresy a nejsou zaměnitelné. Vyberte hodnotu, kterou každá služba potřebuje, a poté ji potvrďte zvenku stroje.
Hostovaný server s nainstalovanou VPN nakonec drží tři adresy a jen jedna z nich patří na každé místo, které právě konfigurujete. Kopírování čísla z panelu poskytovatele do DNS, do posluchače nebo na seznam povolených je způsob, jakým se fungující tunel změní ve službu, na kterou se nikdo nedostane. Tato příručka řadí práci tak, aby každá adresa byla vybrána pro uvedený účel. Uvádí také příkazy, které potvrzují, co jste skutečně publikovali.
Zmapujte tři adresy, než cokoli publikujete
Pojmenujte je podle funkce. Adresa underlay je to, co stroj používá k dosažení koncového bodu VPN přes internet, a často je soukromá za NAT poskytovatele. Adresa tunelu žije uvnitř VPN a přiděluje ji server nebo klient podle produktu. Veřejný výstup je adresa, kterou vzdálený web zaznamená po překladu, a nemusí existovat na žádném rozhraní, na které se můžete zeptat.
Panel, který ukazuje jednu veřejnou adresu pro stroj, vám o dvou zbývajících rolích řekne velmi málo. Dostupnost underlay je požadavek, ne nákup: notebook za domácím routerem může dosáhnout hostovaného koncového bodu VPN, aniž by vlastnil veřejnou adresu IPv4. Co nemůžete udělat, je vymyslet vstupní cestu napsáním jména, které se přeloží na adresu, kterou nikdo nepředává dál.
Vyberte adresu podle služby, ne podle štítku
Zapište, co server musí dělat, než vyberete číslo. Odchozí volání API potřebují stabilní výstup, když druhá strana vede seznam povolených. Soukromý přístup potřebuje adresu tunelu, na kterou klienti mohou směrovat, a posluchače navázaného na ni. Veřejný hosting potřebuje vstupní mapování, které poskytovatel skutečně nabízí, a samotná výstupní adresa to neposkytne.
Jeden stroj může sloužit všem třem účelům a přesto používat tři různé adresy. Co se láme, je předpoklad, že jedna hodnota pokrývá všechny:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Vstupní řádek je ten, o kterém se lidé hádají. Záznam ukazující na výstupní adresu nevytvoří posluchače, otevření firewallu ani mapování portu, a čekání to nezmění. Když poskytovatel prodává vyhrazenou adresu spolu se vstupním pravidlem, je tento balík schopnost, kterou jste koupili; adresa sama o sobě není nárok.
Příkazy, které ukazují, která adresa je která
Čtěte stroj, ne panel. Názvy rozhraní se mezi systémy liší, proto přiřaďte adresy k zařízením, místo abyste věřili štítku.
První řádek vypisuje každou adresu IPv4 a její zařízení a druhý se ptá jádra, které zařízení by použilo pro známý vnější cíl:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Pokud vyhledání trasy odpoví tunelovým zařízením pro veřejný provoz, váš plný tunel je v platnosti. Kontrola posluchače je stejně důležitá, protože proces navázaný jen na 127.0.0.1 nikdy neodpoví na adrese tunelu, ať publikujete jakékoli jméno.
Publikujte ji a poté ověřte zvenku
Publikujte hodnotu, kterou služba potřebuje, a nic víc: záznam A nebo AAAA pro hosting, položku seznamu povolených pro odchozí volání, profil klienta pro soukromý přístup. Poté testujte z pozice, na které záleží, a tou nikdy není stroj, který jste právě upravili.
Dvě kontroly pokrývají většinu a obě jsou dost levné na to, abyste je udrželi ve skriptu:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthOdpověď DNS dokazující, že váš záznam existuje, není důkazem, že požadavek dorazí, a jeden úspěšný požadavek dokazuje jen to, že jedna cesta funguje z jedné sítě. Zopakujte kontrolu přes mobilní připojení, když je ve hře seznam povolených, protože výstup, který pozorujete, může záviset na rodině adres a zvolené trase. Poznamenejte si, kterou rodinu jste ověřili; fungující cesta IPv4 neříká o IPv6 naprosto nic.
Pokud je služba vstupní, výstupní adresa nestačí
Vstupní přístup potřebuje čtyři věci v jedné linii: jméno nebo adresu, na kterou se klient dostane, trasu, která doručí paket stroji, posluchače, který jej přijme, a politiku, která jej nezahodí. VPN mění druhý prvek a někdy první a pro třetí a čtvrtý nedělá nic. Když je tunelem cesta doručení, klienti se připojují k adrese tunelu, ne k výstupu.
Zaznamenejte, na které adrese která služba závisí, a tuto poznámku znovu projděte, kdykoli poskytovatel změní svůj model směrování. Server, který odpovídá soukromě a selhává veřejně, obvykle není rozbitý; odpovídá pod špatnou identitou a oprava je rozhodnutí o mapování, nikoli změna firewallu.