Milline aadress läheb DNS-i VPN-i kaudu ühendatud serveri jaoks?
Majutatud serveril on kolm aadressi ja need ei ole vahetatavad. Valige väärtus, mida iga teenus vajab, ja kinnitage see seejärel väljastpoolt masinat.
VPN-iga majutatud serveril on lõpuks kolm aadressi ja ainult üks neist kuulub igasse kohta, mida parajasti seadistate. Numbri kopeerimine teenusepakkuja paneelilt DNS-i, kuulajasse või lubatud loendisse on viis, kuidas töötav tunnel muutub teenuseks, milleni keegi ei jõua. See juhend korraldab töö nii, et iga aadress valitakse kindlaksmääratud otstarbeks. Samuti loetleb see käsud, mis kinnitavad, mida te tegelikult avaldasite.
Kaardistage kolm aadressi enne, kui midagi avaldate
Nimetage need funktsiooni järgi. Underlay-aadress on see, mida masin kasutab VPN-i lõpp-punkti jõudmiseks üle interneti, ja see on sageli privaatne teenusepakkuja NAT-i taga. Tunnel-aadress elab VPN-i sees ning selle annab server või klient sõltuvalt tootest. Avalik väljumine on aadress, mille kaugveebileht pärast tõlget logib, ja see ei pea eksisteerima ühelgi liidesel, mille kohta saate päringu teha.
Paneel, mis näitab masina jaoks ühte avalikku aadressi, ütleb teile ülejäänud kahe rolli kohta väga vähe. Underlay kättesaadavus on nõue, mitte ost: koduse ruuteri taga olev sülearvuti võib jõuda majutatud VPN-i lõpp-punkti ilma avalikku IPv4-aadressi omamata. Mida te teha ei saa, on leiutada sissetulev tee, kirjutades nime, mis laheneb aadressiks, mida keegi edasi ei suuna.
Valige aadress teenuse järgi, mitte sildi järgi
Kirjutage üles, mida server peab tegema, enne kui numbri valite. Väljuvad API-kutsed vajavad stabiilset väljumist, kui teine pool peab lubatud loendit. Privaatne juurdepääs vajab tunnel-aadressi, kuhu kliendid saavad marsruutida, ja sellega seotud kuulajat. Avalik majutamine vajab sissetulevat vastendust, mida teenusepakkuja tõesti pakub, ja väljumisaadress üksi seda ei anna.
Üks masin võib teenindada kõiki kolme otstarvet ja kasutada siiski kolme erinevat aadressi. Katki läheb eeldus, et üks väärtus katab need kõik:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Sissetulev rida on see, mille üle inimesed vaidlevad. Väljumisaadressile osutav kirje ei loo kuulajat, tulemüüri avamist ega pordi vastendust, ja ootamine ei muuda seda. Kui teenusepakkuja müüb pühendatud aadressi koos sissetuleva reegliga, on see pakett võimekus, mille te ostsite; aadress iseenesest ei ole õigus.
Käsud, mis näitavad, milline aadress on milline
Lugege masinat, mitte paneeli. Liidese nimed erinevad süsteemiti, seega siduge aadressid seadmetega, selle asemel et silti usaldada.
Esimene rida loetleb iga IPv4-aadressi ja selle seadme ning teine küsib tuumalt, millist seadet see kasutaks teadaoleva välise sihtkoha jaoks:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Kui marsruudiotsing vastab avaliku liikluse jaoks tunneliseadmega, on teie täielik tunnel jõus. Kuulaja kontroll on sama oluline, sest ainult 127.0.0.1-ga seotud protsess ei vasta kunagi tunnel-aadressil, ükskõik millise nime te avaldate.
Avaldage see ja seejärel kontrollige väljastpoolt
Avaldage väärtus, mida teenus vajab, ja mitte midagi enamat: A- või AAAA-kirje majutamiseks, lubatud loendi kirje väljuvate kõnede jaoks, kliendiprofiil privaatseks juurdepääsuks. Seejärel testige positsioonilt, mis loeb, ja see ei ole kunagi masin, mida just muutsite.
Kaks kontrolli katavad suurema osa ja mõlemad on piisavalt odavad, et skripti jääda:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS-vastus, mis tõestab, et teie kirje on olemas, ei ole tõestus, et päring kohale jõuab, ja üks edukas päring tõestab ainult seda, et üks tee töötab ühest võrgust. Korrake kontrolli mobiilühenduse kaudu, kui lubatud loend on mängus, sest vaadeldav väljumine võib sõltuda aadressiperekonnast ja valitud marsruudist. Märkige üles, millise perekonna kinnitasite; töötav IPv4 tee ei ütle IPv6 kohta absoluutselt midagi.
Kui teenus on sissetulev, ei piisa väljumisaadressist
Sissetulev juurdepääs vajab nelja asja ühel joonel: nime või aadressi, milleni klient jõuab, marsruuti, mis toimetab paketi masinasse, kuulajat, mis selle vastu võtab, ja poliitikat, mis seda ei viska ära. VPN muudab teist elementi ja mõnikord esimest, kolmanda ja neljanda jaoks ei tee see aga midagi. Kui tunnel on kohaletoimetamise tee, ühenduvad kliendid tunnel-aadressiga, mitte väljumisega.
Märkige üles, millisest aadressist iga teenus sõltub, ja vaadake seda märkust uuesti üle iga kord, kui teenusepakkuja oma marsruutimismudelit muudab. Server, mis vastab privaatselt ja ebaõnnestub avalikult, ei ole tavaliselt katki; see vastab vale identiteediga ja parandus on vastendusotsus, mitte tulemüüri muudatus.