Pa gyfeiriad sy’n mynd yn y DNS ar gyfer gweinydd sy’n gysylltiedig drwy VPN?
Mae gan weinydd a gynhelir dri chyfeiriad ac nid ydynt yn gyfnewidiol. Dewiswch y gwerth y mae pob gwasanaeth ei angen, yna cadarnhewch ef o’r tu allan i’r peiriant.
Mae gweinydd a gynhelir gyda VPN wedi’i osod yn gorffen gyda thri chyfeiriad, a dim ond un ohonynt sy’n perthyn i bob man rydych chi ar fin ei ffurfweddu. Copïo’r rhif o banel darparwr i’r DNS, i wrandawr neu i restr caniatâd yw’r ffordd y mae tiwnel sy’n gweithio yn troi’n wasanaeth na all neb ei gyrraedd. Mae’r canllaw hwn yn trefnu’r gwaith fel bod pob cyfeiriad yn cael ei ddewis at ddiben penodedig. Mae hefyd yn rhestru’r gorchmynion sy’n cadarnhau’r hyn y gwnaethoch ei gyhoeddi mewn gwirionedd.
Mapwch y tri chyfeiriad cyn i chi gyhoeddi unrhyw beth
Enwch hwy yn ôl eu swyddogaeth. Y cyfeiriad underlay yw’r hyn y mae’r peiriant yn ei ddefnyddio i gyrraedd pwynt terfyn y VPN dros y rhyngrwyd, ac mae’n aml yn breifat y tu ôl i NAT y darparwr. Mae’r cyfeiriad tiwnel yn byw y tu mewn i’r VPN, yn cael ei roi gan y gweinydd neu’r cleient yn dibynnu ar y cynnyrch. Yr allanfa gyhoeddus yw y cyfeiriad y mae gwefan bell yn ei gofnodi ar ôl y cyfieithiad, ac nid oes angen iddo fodoli ar unrhyw ryngwyneb y gallwch chi ymholi iddo.
Mae panel sy’n dangos un cyfeiriad cyhoeddus ar gyfer peiriant yn dweud ychydig iawn wrthych am y ddau rôl arall. Mae cyrhaeddedd underlay yn ofyniad, nid yn bryniant: gall gliniadur y tu ôl i lwybrydd cartref gyrraedd pwynt terfyn VPN a gynhelir heb fod â chyfeiriad IPv4 cyhoeddus. Yr hyn na allwch chi ei wneud yw dyfeisio llwybr i mewn drwy ysgrifennu enw sy’n datrys i gyfeiriad nad oes neb yn ei anfon ymlaen.
Dewiswch y cyfeiriad yn ôl y gwasanaeth, nid yn ôl y label
Ysgrifennwch beth y mae’n rhaid i’r gweinydd ei wneud cyn dewis rhif. Mae angen allanfa sefydlog ar alwadau API allan pan fo’r ochr arall yn cadw rhestr caniatâd. Mae angen mynediad preifat ar gyfeiriad tiwnel y gall cleientiaid lwybro iddo a gwrandawr wedi’i rwymo iddo. Mae angen cynnal cyhoeddus ar fapio i mewn y mae’r darparwr yn ei gynnig mewn gwirionedd, ac nid yw’r cyfeiriad allanfa ar ei ben ei hun yn ei ddarparu.
Gall un peiriant wasanaethu’r tri diben ac o hyd ddefnyddio tri chyfeiriad gwahanol. Yr hyn sy’n torri yw’r dybiaeth bod un gwerth yn eu cwmpasu i gyd:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Y rhes i mewn yw’r un y mae pobl yn dadlau yn ei gylch. Nid yw cofnod sy’n pwyntio at y cyfeiriad allanfa yn creu gwrandawr, na thwll wal dân, na mapio porth, ac nid yw aros yn newid hynny. Pan fo’r darparwr yn gwerthu cyfeiriad pwrpasol ynghyd â rheol i mewn, y pecyn hwnnw yw’r gallu y gwnaethoch ei brynu; nid yw’r cyfeiriad ar ei ben ei hun yn hawl.
Gorchmynion sy’n dangos pa gyfeiriad yw pa un
Darllenwch y peiriant, nid y panel. Mae enwau rhyngwyneb yn wahanol rhwng systemau, felly cyfatebwch gyfeiriadau i ddyfeisiau yn hytrach na dibynnu ar label.
Mae’r llinell gyntaf yn rhestru pob cyfeiriad IPv4 a’i ddyfais, ac mae’r ail yn gofyn i’r cnewyllyn pa ddyfais y byddai’n ei defnyddio ar gyfer cyrchfan allanol hysbys:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Os yw ymholiad llwybr yn ateb â dyfais tiwnel ar gyfer traffig cyhoeddus, mae eich tiwnel llawn mewn grym. Mae gwirio’r gwrandawr yr un mor bwysig, oherwydd ni fydd proses sydd ond yn rhwym wrth 127.0.0.1 byth yn ateb ar y cyfeiriad tiwnel, pa enw bynnag y byddwch yn ei gyhoeddi.
Cyhoeddwch ef, yna gwiriwch o’r tu allan
Cyhoeddwch y gwerth y mae’r gwasanaeth ei angen a dim mwy: cofnod A neu AAAA ar gyfer cynnal, cofnod rhestr caniatâd ar gyfer galwadau allan, proffil cleient ar gyfer mynediad preifat. Yna profwch o’r safle sy’n cyfrif, ac nid yw hwnnw byth yn y peiriant rydych chi newydd ei olygu.
Mae dau wiriad yn cwmpasu’r rhan fwyaf, ac mae’r ddau yn ddigon rhad i’w cadw mewn sgript:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthNid yw ateb DNS sy’n profi bod eich cofnod yn bodoli yn brawf bod cais yn cyrraedd, ac mae un cais llwyddiannus yn profi yn unig bod un llwybr yn gweithio o un rhwydwaith. Ailadroddwch y gwiriad o gysylltiad symudol pan fo rhestr caniatâd yn y cwestiwn, oherwydd gall yr allanfa a welwch ddibynnu ar y teulu cyfeiriadau a’r llwybr a gymerwyd. Nodwch ba deulu y gwnaethoch ei wirio; nid yw llwybr IPv4 sy’n gweithio yn dweud unrhyw beth am IPv6.
Os yw’r gwasanaeth i mewn, nid yw’r cyfeiriad allanfa yn ddigon
Mae angen pedair peth wedi’u halinio ar fynediad i mewn: enw neu gyfeiriad y gall cleient ei gyrraedd, llwybr sy’n danfon y pecyn i’r peiriant, gwrandawr sy’n ei dderbyn, a pholisi nad yw’n ei ollwng. Mae VPN yn newid yr ail elfen ac weithiau’r gyntaf, ac nid yw’n gwneud unrhyw beth i’r drydedd a’r bedwaredd. Pan fo’r tiwnel yn llwybr cyflenwi, mae cleientiaid yn cysylltu â’r cyfeiriad tiwnel, nid â’r allanfa.
Cofnodwch pa gyfeiriad y mae pob gwasanaeth yn dibynnu arno, yna ailedrychwch ar y nodyn hwnnw pryd bynnag y bydd y darparwr yn newid ei fodel llwybro. Nid yw gweinydd sy’n ateb yn breifat ac yn methu’n gyhoeddus fel rheol wedi torri; mae’n ateb o dan yr hunaniaeth anghywir, a phenderfyniad mapio yw’r atgyweiriad yn hytrach na newid wal dân.