Ένα δημόσιο πρόθεμα για πελάτες VPN: τι πραγματικά χαλάει

Ένα σύνολο πελατών που επιλέχθηκε επειδή οι αριθμοί φαίνονται τακτοποιημένοι είναι μια διαδρομή που περιμένει να εγκατασταθεί. Το πρόθεμα δεν χρειάζεται να είναι ιδιωτικό για να δουλέψει το VPN, και η χρήση ενός μπλοκ που ανήκει σε κάποιον άλλο ούτε εκθέτει αυτόματα τους χρήστες σας στο διαδίκτυο. Αυτό που κάνει είναι να δίνει σε αυτές τις διευθύνσεις άλλη σημασία όσο η σήραγγα είναι ενεργή, και μετά πάλι άλλη όταν πέσει. Περάστε τους πέντε ελέγχους παρακάτω με τη σειρά και σταματήστε εκεί όπου η απάντηση είναι «ανατεθειμένο αλλού».

Η ανάθεση δεν είναι αναγγελία

Το να βάλεις μια διεύθυνση σε μια διεπαφή σήραγγας δεν την αναγγέλλει στο διαδίκτυο. Η δημόσια προσβασιμότητα χρειάζεται διαδρομή, εξουσιοδοτημένη πορεία και πάροχο πρόθυμο να τη μεταφέρει, και τίποτα από αυτά δεν εμφανίζεται επειδή ένας πελάτης έλαβε τη διεύθυνση από ένα σύνολο. Η πολιτική του τείχους προστασίας και η εξουσιοδότηση του κεντρικού υπολογιστή είναι πάλι ξεχωριστές αποφάσεις.

Γι' αυτό ο κίνδυνος δεν είναι αυτό που υποθέτουν οι περισσότεροι. Το δανεισμένο πρόθεμα δεν κάνει τους πελάτες σας προσβάσιμους· κάνει τους προορισμούς κάποιου άλλου μη προσβάσιμους από τους πελάτες σας, που είναι διαφορετική αστοχία με διαφορετικό ιδιοκτήτη. Κανείς δεν δέχεται επίθεση και καμία αναγγελία δεν διαφεύγει. Ένας χρήστης απλώς δεν μπορεί να ανοίξει έναν ιστότοπο που δούλευε χθες, και η υποστήριξη δεν έχει λόγο να υποψιαστεί το σύνολο του VPN.

Η διάκριση έχει σημασία όταν επιλέγετε σύνολο. Αν η μόνη σας ανησυχία ήταν η έκθεση στο διαδίκτυο, ένα δημόσιο μπλοκ θα φαινόταν ασφαλές επειδή τίποτα δεν το αναγγέλλει. Η ανησυχία είναι η τοπική διαδρομή που εγκαθιστά ο πελάτης για αυτό το πρόθεμα, και αυτή η διαδρομή εγκαθίσταται είτε τη βλέπει κάποιος άλλος είτε όχι.

Τι πιάνει στην πραγματικότητα η διαδρομή του πελάτη

Όταν ανέβει η σήραγγα, ο πελάτης λαμβάνει μια διαδρομή για το πρόθεμα του συνόλου, και αυτή η διαδρομή κερδίζει την προεπιλεγμένη διαδρομή για κάθε προορισμό μέσα της. Ένα αίτημα προς έναν νόμιμο κεντρικό υπολογιστή σε αυτό το μπλοκ πηγαίνει τώρα στο VPN αντί στο διαδίκτυο. Αν αποτύχει, κολλήσει ή φτάσει στον λάθος διακομιστή εξαρτάται από το τι κάνει η πλευρά σας με αυτό.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Εκτελέστε την αναζήτηση με τη σήραγγα ενεργή και ξανά με αυτήν ανενεργή. Η διεύθυνση σημαίνει ένα πράγμα στην πρώτη περίπτωση και κάτι εντελώς διαφορετικό στη δεύτερη, και οποιαδήποτε εφαρμογή έχει αποθηκεύσει προσωρινά μια σύνδεση ή μια επίλυση ονόματος κατά τη μετάβαση θα συμπεριφέρεται ασυνεπώς. Αυτή η ασυνέπεια είναι δυσκολότερη στην υποστήριξη από μια καθαρή αποτυχία, επειδή εξαρτάται από τον χρόνο. Ένας χρήστης που επανασυνδέεται τη λάθος στιγμή έχει διαφορετική εμπειρία από έναν που δεν το κάνει.

Γι' αυτό επίσης μια γνώριμη διεύθυνση IP δεν είναι απόδειξη ταυτότητας. Διατηρήστε την επικύρωση πιστοποιητικού και ονόματος διακομιστή για τον πραγματικό προορισμό, επειδή η αριθμητική διεύθυνση στην οποία φτάσατε πριν από πέντε λεπτά μπορεί τώρα να ανήκει σε διαφορετική συνομιλία.

Συγκρίνετε το σύνολο με κάθε δίκτυο που γνωρίζετε

RFC 1918 δεσμεύει τρία μπλοκ για ιδιωτική χρήση: 192.168.0.0/16, 172.16.0.0/12 και 10.0.0.0/8. Εκατομμύρια ξεχωριστοί οργανισμοί τα επαναχρησιμοποιούν, οπότε το ιδιωτικό είναι δήλωση για την κατανομή και ποτέ υπόσχεση ότι κανείς άλλος δεν διάλεξε τους ίδιους αριθμούς.

Συγκρίνετε το υποψήφιο σύνολο με LAN γραφείων, VPC cloud, άλλα σύνολα VPN, συνδέσεις εταίρων και τις περιοχές που πιθανόν έχουν στο σπίτι οι απομακρυσμένοι εργαζόμενοι. Η περίπτωση του σπιτιού δεν είναι λόγος να εφεύρετε ένα παράξενο πρόθεμα· είναι λόγος να κρατήσετε το σύνολο μικρό και τεκμηριωμένο.

Συντονίστε την κατανομή με όποιον κατέχει τη δρομολόγηση και καταγράψτε την επιστροφή στο ίδιο σημείο. Ένα σύνολο στο οποίο κανείς δεν μπορεί να δρομολογήσει πίσω είναι ένα σύνολο που θα ανακαλυφθεί ξανά κατά τη διάρκεια μιας διακοπής. Βάλτε το σύνολο στο ίδιο έγγραφο με τις περιοχές των τοποθεσιών, όχι σε μια ρύθμιση πελάτη που έχει επεξεργαστεί μόνο ένα άτομο. Το έγγραφο είναι αυτό που κάνει την επόμενη σύγκρουση αποφεύξιμη.

Πότε η δημόσια διευθυνσιοδότηση είναι η σωστή απάντηση

Οργανισμοί με σωστά κατανεμημένο παγκόσμιο χώρο μπορούν σαφώς να χτίσουν ένα σύνολο VPN με δημόσιες διευθύνσεις, και μερικοί το κάνουν σκόπιμα για να αποφύγουν τη μετάφραση. Αυτός ο σχεδιασμός εξακολουθεί να χρειάζεται δρομολόγηση, επικύρωση πηγής, κανόνες πρόσβασης και έλεγχο ταυτότητας πελάτη· η κατανομή δεν παρέχει κανένα από αυτά.

Αυτό που παρέχει είναι μοναδικότητα, η ιδιότητα που λείπει από το δανεισμένο πρόθεμα. Αν κατέχετε το μπλοκ, η διαδρομή που εγκαθιστά ο πελάτης σας δείχνει σε διευθύνσεις που είναι πραγματικά δικές σας, και η σημασία δεν αλλάζει όταν πέφτει η σήραγγα.

Μην προσθέτετε NAT αυτόματα για να αντισταθμίσετε μια επιλογή συνόλου. Ένας δρομολογημένος ιδιωτικός σχεδιασμός με ρητές διαδρομές επιστροφής είναι καθαρότερος από μετάφραση που εφαρμόζεται επειδή η διευθυνσιοδότηση δεν σχεδιάστηκε ποτέ, και το IPv6 χρειάζεται το δικό του σκόπιμο σχέδιο παρά ένα αντίγραφο των παραδοχών του IPv4.

Αποσύρετε ένα κακό σύνολο χωρίς να χάσετε πρόσβαση

Αν το σύνολο έχει ήδη αναπτυχθεί, κάντε απογραφή πριν το αλλάξετε: δεσμεύσεις διευθύνσεων, εγκατεστημένες διαδρομές, εγγραφές DNS που επιλύονται στο μπλοκ, πεδία τείχους προστασίας και οι εφαρμογές που εξαρτώνται από αυτά. Στη συνέχεια προγραμματίστε την αλλαγή με την ίδια φροντίδα όπως κάθε άλλη μετάβαση δρομολόγησης. Αναγγείλτε την στους ανθρώπους που θα το προσέξουν, επειδή οι συνεδρίες τους θα πέσουν όταν μετακινηθεί το σύνολο. Μια σιωπηλή αλλαγή στη διευθυνσιοδότηση πελατών δημιουργεί αιτήματα υποστήριξης που φαίνονται άσχετα με τη δουλειά.

Διατηρήστε μια πορεία ανάκτησης που δεν εξαρτάται από το σύνολο που αφαιρείτε, επειδή τη στιγμή που το αποσύρετε είναι η στιγμή που η απομακρυσμένη πρόσβασή σας μπορεί να εξαφανιστεί μαζί του. Επικυρώστε μετά και τις δύο κατευθύνσεις: οι προβλεπόμενοι ιδιωτικοί προορισμοί εξακολουθούν να λειτουργούν, και οι προορισμοί του διαδικτύου που πιάνονταν παλιά επιλύονται τώρα στους πραγματικούς ιδιοκτήτες τους.

Αυτό που θέλετε είναι ένα σύνολο που η ομάδα δικτύου μπορεί να κατανείμει, να δρομολογήσει και να αποσύρει ως ένα συνεκτικό πράγμα. Μια μορφή διεύθυνσης από μόνη της δεν θεμελιώνει ούτε ασφάλεια ούτε συνδεσιμότητα.