Avalik prefiks VPN-klientidele: mida see tegelikult rikub

Kliendikogum, mis valiti sellepärast, et numbrid näevad korralikud välja, on marsruut, mis ootab paigaldamist. Prefiks ei pea olema privaatne, et VPN töötaks, ja kellelegi teisele kuuluva ploki kasutamine ei ava ka teie kasutajaid automaatselt internetile. See teeb hoopis seda, et need aadressid tähendavad midagi muud seni, kuni tunnel on üleval, ja seejärel jälle midagi muud, kui see katkeb. Käige allolevad viis kontrolli järjekorras läbi ja peatuge seal, kus vastus on „määratud mujale“.

Määramine ei ole teadaanne

Aadressi panemine tunneliliidesele ei teata seda internetile. Avalik kättesaadavus vajab marsruuti, volitatud teed ja teenusepakkujat, kes on valmis seda kandma, ja ükski neist ei ilmne sellepärast, et klient sai aadressi kogumist. Tulemüüri poliitika ja hosti autoriseerimine on jälle eraldi otsused.

Seetõttu ei ole risk see, mida enamik eeldab. Laenatud prefiks ei tee teie kliente kättesaadavaks; see teeb kellegi teise sihtkohad teie klientide jaoks kättesaamatuks, mis on teistsugune rike teistsuguse omanikuga. Kedagi ei rünnata ja ükski teadaanne ei pääse välja. Kasutaja lihtsalt ei saa avada saiti, mis eile töötas, ja tugiteenusel pole põhjust VPN-i kogumit kahtlustada.

See erinevus loeb kogumi valimisel. Kui teie ainus mure oleks internetile avatus, näeks avalik plokk turvaline välja, sest miski ei teata seda. Mure on lokaalne marsruut, mille klient selle prefiksi jaoks paigaldab, ja see marsruut paigaldatakse olenemata sellest, kas keegi teine seda näeb.

Mida kliendi marsruut tegelikult püüab

Kui tunnel üles tuleb, saab klient marsruudi kogumi prefiksile ja see marsruut võidab vaikimisi marsruudi iga selle sees oleva sihtkoha puhul. Päring selles plokis asuvale legitiimsele hostile läheb nüüd internetti asemel VPN-i. Kas see ebaõnnestub, jääb rippuma või jõuab valesse serverisse, sõltub sellest, mida teie pool sellega teeb.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Käivitage otsing tunneliga üleval ja uuesti sellega all. Aadress tähendab esimesel juhul ühte ja teisel juhul hoopis midagi muud, ning iga rakendus, mis on selle ülemineku jooksul vahemällu salvestanud ühenduse või nime lahendamise, käitub ebajärjekindlalt. Seda ebajärjekindlust on raskem toetada kui puhast ebaõnnestumist, sest see sõltub ajastusest. Kasutaja, kes taasühendub valel hetkel, saab teistsuguse kogemuse kui see, kes seda ei tee.

Seetõttu ei ole ka tuttav IP-aadress identiteedi tõestus. Säilitage sertifikaadi ja serverinime valideerimine tegeliku sihtkoha jaoks, sest numbriline aadress, kuhu jõudsite viis minutit tagasi, võib nüüd kuuluda teisele vestlusele.

Võrrelge kogumit iga võrguga, mida teate

RFC 1918 eraldab privaatseks kasutuseks kolm plokki: 192.168.0.0/16, 172.16.0.0/12 ja 10.0.0.0/8. Miljonid eraldiseisvad organisatsioonid kasutavad neid uuesti, nii et privaatne on väide jaotamise kohta ja mitte kunagi lubadus, et keegi teine ei valinud samu numbreid.

Võrrelge kandidaatkogumit kontori-LAN-ide, pilve-VPC-de, teiste VPN-kogumite, partnerlinkide ja vahemikega, mis kaugtöötajatel tõenäoliselt kodus on. Kodune juhtum ei ole põhjus kummalise prefiksi leiutamiseks; see on põhjus hoida kogum väike ja dokumenteeritud.

Kooskõlastage jaotamine sellega, kes omab marsruutimist, ja registreerige tagasitee samas kohas. Kogum, kuhu keegi ei saa tagasi marsruutida, on kogum, mis avastatakse katkestuse ajal uuesti. Pange kogum samasse dokumenti saidi vahemikega, mitte kliendi konfiguratsiooni, mida on muutnud ainult üks inimene. Dokument on see, mis teeb järgmise kokkupõrke välditavaks.

Millal on avalik adresseerimine õige vastus

Nõuetekohaselt määratud globaalse ruumiga organisatsioonid saavad kindlasti ehitada avaliku adresseerimisega VPN-kogumi, ja mõned teevad seda meelega, et vältida tõlkimist. See disain vajab siiski marsruutimist, allika valideerimist, juurdepääsureegleid ja kliendi autentimist; jaotamine ei anna neist ühtegi.

Mida see annab, on unikaalsus, omadus, mida laenatud prefiksil napib. Kui plokk kuulub teile, osutab teie kliendi paigaldatud marsruut aadressidele, mis on tõesti teie omad, ja tähendus ei muutu, kui tunnel katkeb.

Ärge lisage NAT-i automaatselt, et kompenseerida kogumi valikut. Selgete tagasiteede marsruutidega privaatne disain on puhtam kui tõlkimine, mida rakendatakse seetõttu, et adresseerimist ei planeeritud kunagi, ja IPv6 vajab oma meelega tehtud plaani, mitte IPv4 eelduste koopiat.

Viige halb kogum kasutusest välja ilma juurdepääsu kaotamata

Kui kogum on juba juurutatud, tehke enne muutmist inventuur: aadressireserveeringud, paigaldatud marsruudid, DNS-kirjed, mis lahenduvad plokki, tulemüüri ulatused ja rakendused, mis neist sõltuvad. Seejärel ajastage muudatus sama hoolsusega nagu iga teine marsruutimise üleviimine. Teatage sellest inimestele, kes seda märkavad, sest nende seansid katkevad, kui kogum liigub. Vaikne muudatus kliendi adresseerimises tekitab tugipileteid, mis näivad tööga mitteseotud.

Säilitage taastetee, mis ei sõltu kogumist, mida eemaldate, sest hetk, mil te selle tagasi võtate, on hetk, mil teie kaugjuurdepääs võib sellega kaduda. Seejärel valideerige mõlemad suunad: kavandatud privaatsed sihtkohad töötavad endiselt ja interneti sihtkohad, mida varem püüti, lahenduvad nüüd oma tegelike omanike juurde.

Te tahate kogumit, mille võrgumeeskond saab määrata, marsruutida ja kasutusest välja viia ühe tervikliku asjana. Aadressivorming üksi ei taga ei turvalisust ega ühenduvust.