Et offentligt præfiks til VPN-klienter: hvad det egentlig ødelægger

En klientpulje valgt, fordi tallene ser pæne ud, er en rute, der venter på at blive installeret. Præfikset behøver ikke være privat, for at VPN'et virker, og brug af en blok, der tilhører en anden, eksponerer heller ikke automatisk dine brugere for internettet. Det, det gør, er at få disse adresser til at betyde noget andet, så længe tunnelen er oppe, og derefter at betyde noget andet igen, når den falder. Gå gennem de fem kontroller nedenfor i rækkefølge, og stop, hvor svaret er »tildelt et andet sted«.

Tildeling er ikke annoncering

At sætte en adresse på en tunnelegrænseflade annoncerer den ikke til internettet. Offentlig tilgængelighed kræver en rute, en autoriseret vej og en udbyder, der er villig til at bære den, og intet af det opstår, fordi en klient har fået adressen fra en pulje. Firewallpolitik og værtsautorisation er igen separate beslutninger.

Derfor er risikoen ikke det, de fleste antager. Det lånte præfiks gør ikke dine klienter tilgængelige; det gør en andens destinationer utilgængelige fra dine klienter, hvilket er en anden fejl med en anden ejer. Ingen bliver angrebet, og ingen annoncering slipper ud. En bruger kan simpelthen ikke åbne et websted, der virkede i går, og helpdesken har ingen grund til at mistænke VPN-puljen.

Forskellen betyder noget, når du vælger en pulje. Hvis din eneste bekymring var eksponering mod internettet, ville en offentlig blok se sikker ud, fordi intet annoncerer den. Bekymringen er den lokale rute, klienten installerer for det præfiks, og den rute installeres, uanset om nogen andre kan se den.

Hvad klientruten faktisk opfanger

Når tunnelen kommer op, modtager klienten en rute til puljens præfiks, og den rute vinder over standardruten for hver destination inden i den. En anmodning til en legitim vært i den blok går nu til VPN'et i stedet for internettet. Om den fejler, hænger eller når den forkerte server, afhænger af, hvad din side gør ved den.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Kør opslaget med tunnelen oppe og igen med den nede. Adressen betyder én ting i det første tilfælde og noget helt andet i det andet, og enhver applikation, der har cachet en forbindelse eller en navneopløsning hen over den overgang, vil opføre sig inkonsistent. Den inkonsistens er sværere at understøtte end en ren fejl, fordi den afhænger af timing. En bruger, der genopretter forbindelsen på det forkerte tidspunkt, får en anden oplevelse end en, der ikke gør.

Det er også derfor, en velkendt IP-adresse ikke er bevis på identitet. Behold certifikat- og servernavnvalidering for den rigtige destination, for den numeriske adresse, du nåede fem minutter tidligere, kan nu tilhøre en anden samtale.

Sammenlign puljen med hvert netværk, du kender

RFC 1918 afsætter tre blokke til privat brug: 192.168.0.0/16, 172.16.0.0/12 og 10.0.0.0/8. Millioner af separate organisationer genbruger dem, så privat er en udtalelse om tildeling og aldrig et løfte om, at ingen andre har valgt de samme tal.

Sammenlign den kandidatpulje med kontor-LAN'er, cloud-VPC'er, andre VPN-puljer, partnerlinks og de områder, fjernarbejdere sandsynligvis har derhjemme. Hjemmetilfældet er ikke grund til at opfinde et mærkeligt præfiks; det er grund til at holde puljen lille og dokumenteret.

Koordiner tildelingen med den, der ejer routing, og registrer returvejen samme sted. En pulje, ingen kan route tilbage til, er en pulje, der bliver genopdaget under et udfald. Sæt puljen i samme dokument som site-områderne, ikke i en klientkonfiguration, som kun én person har redigeret. Dokumentet er det, der gør den næste kollision undgåelig.

Hvornår offentlig adressering er det rigtige svar

Organisationer med korrekt tildelt globalt rum kan sagtens bygge en offentligt adresseret VPN-pulje, og nogle gør det bevidst for at undgå oversættelse. Det design kræver stadig routing, kildevalidering, adgangsregler og klientautentifikation; tildelingen leverer ingen af dem.

Det, den leverer, er unikhed, den egenskab det lånte præfiks mangler. Hvis du ejer blokken, peger den rute, din klient installerer, på adresser, der virkelig er dine, og betydningen ændrer sig ikke, når tunnelen falder.

Tilføj ikke NAT automatisk for at kompensere for et puljevalg. Et routet privat design med eksplicitte returruter er renere end oversættelse anvendt, fordi adresseringen aldrig blev planlagt, og IPv6 har brug for sin egen bevidste plan i stedet for en kopi af IPv4-antagelserne.

Udfas en dårlig pulje uden at miste adgang

Hvis puljen allerede er udrullet, lav en opgørelse, før du ændrer den: adressereservationer, installerede ruter, DNS-poster, der opløses ind i blokken, firewallomfang og de applikationer, der afhænger af dem. Planlæg derefter ændringen med samme omhu som enhver anden routing-overgang. Annoncer den til de mennesker, der vil bemærke det, for deres sessioner vil falde, når puljen flytter. En stille ændring af klientadressering skaber supportbilletter, der ser ud til ikke at have noget med arbejdet at gøre.

Bevar en gendannelsesvej, der ikke afhænger af den pulje, du fjerner, for det øjeblik, du trækker den tilbage, er det øjeblik, hvor din fjernadgang måske forsvinder med den. Validér derefter begge retninger: de tilsigtede private destinationer virker stadig, og de internetdestinationer, der tidligere blev opfanget, opløses nu til deres rigtige ejere.

Det, du vil have, er en pulje, som netværksteamet kan tildele, route og udfase som én sammenhængende ting. Et adresseformat alene etablerer hverken sikkerhed eller forbindelse.