Rhagddodiad cyhoeddus ar gyfer cleientiaid VPN: beth mae'n ei dorri mewn gwirionedd

Mae cronfa gleientiaid a ddewiswyd oherwydd bod y rhifau'n edrych yn daclus yn llwybr sy'n aros i gael ei osod. Nid oes rhaid i'r rhagddodiad fod yn breifat er mwyn i'r VPN weithio, ac nid yw defnyddio bloc sy'n perthyn i rywun arall yn datgelu eich defnyddwyr i'r rhyngrwyd yn awtomatig chwaith. Yr hyn y mae'n ei wneud yw gwneud i'r cyfeiriadau hynny olygu rhywbeth gwahanol tra bydd y tiwnel i fyny, ac wedyn olygu rhywbeth arall eto pan fydd yn disgyn. Ewch drwy'r pum gwiriad isod yn eu trefn a stopiwch lle mae'r ateb yn «neilltuwyd yn rhywle arall».

Nid yw neilltuo yn gyhoeddiad

Nid yw rhoi cyfeiriad ar ryngwyneb tiwnel yn ei gyhoeddi i'r rhyngrwyd. Mae angen llwybr, llwybr awdurdodedig a darparwr sy'n fodlon ei gario ar gyfer cyrhaeddiad cyhoeddus, ac nid yw'r un o'r rheini'n ymddangos oherwydd bod cleient wedi cael y cyfeiriad o gronfa. Mae polisi wal dân ac awdurdodi gwesteiwr yn benderfyniadau ar wahân eto.

Dyna pam nad y perygl yw'r hyn y mae'r rhan fwyaf o bobl yn ei dybio. Nid yw'r rhagddodiad benthyg yn gwneud eich cleientiaid yn gyrhaeddadwy; mae'n gwneud cyrchfannau rhywun arall yn anghyrhaeddadwy o'ch cleientiaid chi, sef methiant gwahanol gyda pherchennog gwahanol. Nid oes neb yn cael ei ymosod ac nid oes unrhyw gyhoeddiad yn dianc. Yn syml, ni all defnyddiwr agor safle a oedd yn gweithio ddoe, ac nid oes gan y ddesg gymorth unrhyw reswm i amau cronfa'r VPN.

Mae'r gwahaniaeth yn bwysig pan fyddwch yn dewis cronfa. Pe mai eich unig bryder fyddai dod i'r amlwg ar y rhyngrwyd, byddai bloc cyhoeddus yn edrych yn ddiogel oherwydd nad oes unrhyw beth yn ei gyhoeddi. Y pryder yw'r llwybr lleol y mae'r cleient yn ei osod ar gyfer y rhagddodiad hwnnw, ac mae'r llwybr hwnnw'n cael ei osod p'un a all rhywun arall ei weld ai peidio.

Beth yn union y mae llwybr y cleient yn ei ddal

Pan fydd y tiwnel yn codi, mae'r cleient yn cael llwybr ar gyfer rhagddodiad y gronfa, ac mae'r llwybr hwnnw'n trechu'r llwybr diofyn ar gyfer pob cyrchfan y tu mewn iddo. Mae cais i westieiwr dilys yn y bloc hwnnw bellach yn mynd i'r VPN yn lle'r rhyngrwyd. A yw'n methu, yn hongian neu'n cyrraedd y gweinydd anghywir yn dibynnu ar yr hyn y mae eich ochr chi'n ei wneud ag ef.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Rhedegwch yr edrychiad gyda'r tiwnel i fyny ac eto gyda'r tiwnel i lawr. Mae'r cyfeiriad yn golygu un peth yn yr achos cyntaf a rhywbeth hollol wahanol yn yr ail, a bydd unrhyw raglen sydd wedi cadw cysylltiad neu ddatrysiad enw ar draws y cyfnewid hwnnw yn ymddwyn yn anghyson. Mae'r anghysondeb hwnnw'n anoddach i'w gynnal na methiant glân, oherwydd ei fod yn dibynnu ar amseru. Mae defnyddiwr sy'n ailgysylltu ar yr adeg anghywir yn cael profiad gwahanol i un nad yw'n gwneud hynny.

Dyna hefyd pam nad yw cyfeiriad IP cyfarwydd yn brawf o hunaniaeth. Cadwch ddilysu tystysgrif ac enw'r gweinydd ar gyfer y gyrchfan wirioneddol, oherwydd efallai bod y cyfeiriad rhifol y daethoch iddo bum munud yn ôl bellach yn perthyn i sgwrs wahanol.

Cymharwch y gronfa â phob rhwydwaith rydych chi'n ei adnabod

RFC 1918 yn neilltuo tri bloc ar gyfer defnydd preifat: 192.168.0.0/16, 172.16.0.0/12 a 10.0.0.0/8. Mae miliynau o sefydliadau ar wahân yn eu hailddefnyddio, felly mae preifat yn ddatganiad am ddyrannu ac yn bendant nid yn addewid na ddewisodd neb arall yr un rhifau.

Cymharwch y gronfa ymgeisiol â LANs swyddfa, VPCs cwmwl, cronfeydd VPN eraill, dolenni partneriaid a'r amrediadau y mae gweithwyr o bell yn debygol o'u cael gartref. Nid yw achos y cartref yn rheswm dros ddyfeisio rhagddodiad rhyfedd; mae'n rheswm dros gadw'r gronfa yn fach ac wedi'i dogfennu.

Cydlynnwch y dyrannu â'r sawl sy'n berchen ar lwybro, a chofnodwch y llwybr dychwelyd yn yr un lle. Mae cronfa na all neb lwybro'n ôl iddi yn gronfa a fydd yn cael ei hailddarganfod yn ystod methiant. Rhowch y gronfa yn yr un ddogfen â'r ystodau safle, nid mewn ffurfweddiad cleient sydd wedi'i olygu gan un person yn unig. Y ddogfen yw'r peth sy'n gwneud y gwrthdrawiad nesaf yn osgoiadwy.

Pryd yw cyfeirio cyhoeddus yn ateb cywir

Gall sefydliadau sydd â gofod byd-eang wedi'i ddyrannu'n briodol adeiladu cronfa VPN â chyfeiriadau cyhoeddus, ac mae rhai'n gwneud hynny'n fwriadol er mwyn osgoi cyfieithu. Mae angen llwybro, dilysu ffynhonnell, rheolau mynediad a dilysu cleient ar y dyluniad hwnnw o hyd; nid yw'r dyrannu yn darparu'r un ohonynt.

Yr hyn y mae'n ei ddarparu yw unigrywiaeth, sef yr eiddo sydd ar goll gan y rhagddodiad benthyg. Os ydych chi'n berchen ar y bloc, mae'r llwybr y mae'ch cleient yn ei osod yn pwyntio at gyfeiriadau sy'n wirioneddol eich un chi, ac nid yw'r ystyr yn newid pan fydd y tiwnel yn disgyn.

Peidiwch ag ychwanegu NAT yn awtomatig i wneud iawn am ddewis cronfa. Mae dyluniad preifat wedi'i lwybro â llwybrau dychwelyd penodol yn glanach na chyfieithu a gymhwyswyd oherwydd na chafodd y cyfeirio ei gynllunio erioed, ac mae angen cynllun bwriadol ei hun ar IPv6 yn hytrach na chopi o dybiaethau IPv4.

Ymddeolwch gronfa wael heb golli mynediad

Os yw'r gronfa eisoes wedi'i defnyddio, gwnewch rhestr cyn ei newid: cadwadau cyfeiriadau, llwybrau wedi'u gosod, cofnodion DNS sy'n datrys i'r bloc, cwmpas wal dân a'r rhaglenni sy'n dibynnu arnynt. Yna trefnwch y newid gyda'r un gofal ag unrhyw gyfnewid llwybro arall. Cyhoeddwch ef i'r bobl a fydd yn sylwi, oherwydd bydd eu sesiynau'n disgyn pan fydd y gronfa'n symud. Mae newid tawel i gyfeirio cleientiaid yn cynhyrchu tocynnau cymorth sy'n edrych yn ddi-gysylltiad â'r gwaith.

Cadwch lwybr adfer nad yw'n dibynnu ar y gronfa rydych chi'n ei dileu, oherwydd y foment rydych chi'n ei thynnu'n ôl yw'r foment y gall eich mynediad o bell ddiflannu gyda hi. Dilyswch y ddau gyfeiriad wedyn: mae'r cyrchfannau preifat a fwriadwyd yn dal i weithio, ac mae'r cyrchfannau rhyngrwyd a oedd yn cael eu dal o'r blaen bellach yn datrys i'w perchnogion go iawn.

Yr hyn rydych chi ei eisiau yw cronfa y gall y tîm rhwydwaith ei dyrannu, ei llwybro a'i hymddeol fel un peth cydlynol. Nid yw fformat cyfeiriad ar ei ben ei hun yn sefydlu diogelwch na chysylltedd.