Ein öffentliches Präfix für VPN-Clients: Was es tatsächlich kaputt macht

Ein Client-Pool, der gewählt wurde, weil die Zahlen ordentlich aussehen, ist eine Route, die auf ihre Installation wartet. Das Präfix muss nicht privat sein, damit das VPN funktioniert, und die Verwendung eines Blocks, der jemand anderem gehört, setzt Ihre Nutzer auch nicht automatisch dem Internet aus. Was es tut, ist, diesen Adressen eine andere Bedeutung zu geben, solange der Tunnel steht, und dann wieder eine andere, wenn er zusammenbricht. Arbeiten Sie die fünf Prüfungen unten der Reihe nach durch und halten Sie dort an, wo die Antwort „anderswo zugewiesen“ lautet.

Zuweisung ist keine Ankündigung

Eine Adresse auf eine Tunnelschnittstelle zu setzen, kündigt sie nicht im Internet an. Öffentliche Erreichbarkeit braucht eine Route, einen autorisierten Pfad und einen Anbieter, der bereit ist, sie zu tragen, und nichts davon entsteht, weil ein Client die Adresse aus einem Pool erhalten hat. Firewall-Richtlinie und Host-Autorisierung sind wiederum getrennte Entscheidungen.

Deshalb ist das Risiko nicht das, was die meisten annehmen. Das geliehene Präfix macht Ihre Clients nicht erreichbar; es macht die Ziele von jemand anderem von Ihren Clients aus unerreichbar, was ein anderer Fehler mit einem anderen Verantwortlichen ist. Niemand wird angegriffen, und keine Ankündigung entweicht. Ein Nutzer kann einfach eine Seite nicht öffnen, die gestern funktioniert hat, und der Helpdesk hat keinen Grund, den VPN-Pool zu verdächtigen.

Der Unterschied ist wichtig, wenn Sie einen Pool wählen. Wäre Ihre einzige Sorge die Exposition gegenüber dem Internet, sähe ein öffentlicher Block sicher aus, weil ihn nichts ankündigt. Die Sorge gilt der lokalen Route, die der Client für dieses Präfix installiert, und diese Route wird installiert, ob jemand anderes sie sehen kann oder nicht.

Was die Client-Route tatsächlich abfängt

Wenn der Tunnel hochkommt, erhält der Client eine Route für das Präfix des Pools, und diese Route gewinnt gegenüber der Standardroute für jedes Ziel darin. Eine Anfrage an einen legitimen Host in diesem Block geht jetzt an das VPN statt an das Internet. Ob sie scheitert, hängt oder den falschen Server erreicht, hängt davon ab, was Ihre Seite damit macht.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Führen Sie die Abfrage mit stehendem Tunnel aus und erneut mit gefallenem. Die Adresse bedeutet im ersten Fall etwas anderes als im zweiten, und jede Anwendung, die eine Verbindung oder eine Namensauflösung über diesen Übergang hinweg zwischengespeichert hat, verhält sich inkonsistent. Diese Inkonsistenz ist schwerer zu unterstützen als ein sauberer Fehler, weil sie vom Zeitpunkt abhängt. Ein Nutzer, der sich im falschen Moment neu verbindet, macht eine andere Erfahrung als einer, der das nicht tut.

Das ist auch der Grund, warum eine vertraute IP-Adresse kein Identitätsnachweis ist. Behalten Sie die Zertifikats- und Servernamenprüfung für das echte Ziel bei, denn die numerische Adresse, die Sie vor fünf Minuten erreicht haben, kann jetzt zu einem anderen Gespräch gehören.

Vergleichen Sie den Pool mit jedem Netzwerk, das Sie kennen

RFC 1918 reserviert drei Blöcke für die private Nutzung: 192.168.0.0/16, 172.16.0.0/12 und 10.0.0.0/8. Millionen getrennter Organisationen verwenden sie wieder, also ist privat eine Aussage über die Zuteilung und niemals ein Versprechen, dass niemand sonst dieselben Nummern gewählt hat.

Vergleichen Sie den Kandidaten-Pool mit Büro-LANs, Cloud-VPCs, anderen VPN-Pools, Partnerverbindungen und den Bereichen, die Fernarbeiter zu Hause wahrscheinlich haben. Der Heimanwendungsfall ist kein Grund, ein seltsames Präfix zu erfinden; er ist ein Grund, den Pool klein und dokumentiert zu halten.

Stimmen Sie die Zuteilung mit dem ab, der das Routing besitzt, und halten Sie den Rückweg am selben Ort fest. Ein Pool, zu dem niemand zurückrouten kann, ist ein Pool, der während eines Ausfalls wiederentdeckt wird. Legen Sie den Pool in dasselbe Dokument wie die Standortbereiche, nicht in eine Client-Konfiguration, die nur eine Person bearbeitet hat. Das Dokument ist es, was die nächste Kollision vermeidbar macht.

Wann öffentliche Adressierung die richtige Antwort ist

Organisationen mit ordnungsgemäß zugewiesenem globalem Raum können durchaus einen öffentlich adressierten VPN-Pool aufbauen, und manche tun dies bewusst, um Übersetzung zu vermeiden. Dieses Design braucht weiterhin Routing, Quellvalidierung, Zugriffsregeln und Client-Authentifizierung; die Zuteilung liefert davon nichts.

Was sie liefert, ist Eindeutigkeit, die Eigenschaft, die dem geliehenen Präfix fehlt. Wenn Sie den Block besitzen, zeigt die Route, die Ihr Client installiert, auf Adressen, die wirklich Ihre sind, und die Bedeutung ändert sich nicht, wenn der Tunnel zusammenbricht.

Fügen Sie NAT nicht automatisch hinzu, um eine Pool-Entscheidung zu kompensieren. Ein geroutetes privates Design mit expliziten Rückrouten ist sauberer als Übersetzung, die angewendet wird, weil die Adressierung nie geplant war, und IPv6 braucht einen eigenen bewussten Plan statt einer Kopie der IPv4-Annahmen.

Setzen Sie einen schlechten Pool außer Betrieb, ohne den Zugang zu verlieren

Wenn der Pool bereits eingeführt ist, machen Sie eine Bestandsaufnahme, bevor Sie ihn ändern: Adressreservierungen, installierte Routen, DNS-Einträge, die in den Block auflösen, Firewall-Bereiche und die Anwendungen, die davon abhängen. Planen Sie dann die Änderung mit derselben Sorgfalt wie jeden anderen Routing-Umstieg. Kündigen Sie sie den Menschen an, die es bemerken werden, denn ihre Sitzungen brechen ab, wenn der Pool umzieht. Eine stille Änderung der Client-Adressierung erzeugt Support-Tickets, die nichts mit der Arbeit zu tun zu haben scheinen.

Bewahren Sie einen Wiederherstellungspfad, der nicht von dem Pool abhängt, den Sie entfernen, denn in dem Moment, in dem Sie ihn zurückziehen, kann Ihr Fernzugriff mit ihm verschwinden. Prüfen Sie danach beide Richtungen: Die vorgesehenen privaten Ziele funktionieren weiterhin, und die Internetziele, die früher abgefangen wurden, lösen jetzt auf ihre echten Eigentümer auf.

Sie wollen einen Pool, den das Netzwerkteam als ein zusammenhängendes Ganzes zuteilen, routen und außer Betrieb nehmen kann. Ein Adressformat allein begründet weder Sicherheit noch Konnektivität.