Zein helbide sartzen da DNSn VPN bidez konektatutako zerbitzari batentzat?
Ostatatutako zerbitzari batek hiru helbide ditu eta ez dira trukagarriak. Aukeratu zerbitzu bakoitzak behar duen balioa, eta gero egiaztatu makinatik kanpotik.
VPN bat instalatuta duen ostatatutako zerbitzari batek hiru helbide izaten ditu azkenean, eta horietako bat soilik dagokio konfiguratzeko zauden leku bakoitzari. Hornitzaile baten paneleko zenbakia DNSra, listener batera edo baimen-zerrenda batera kopiatzea da funtzionatzen zuen tunel bat inork iritsi ezin duen zerbitzu bihurtzeko modua. Gida honek lana ordenatzen du helbide bakoitza adierazitako helburu baterako aukera dadin. Argitaratu duzun benetakoa egiaztatzen duten komandoak ere zerrendatzen ditu.
Kartografiatu hiru helbideak ezer argitaratu aurretik
Deitu itzazu funtzioaren arabera. Underlay helbidea da makinak interneten zehar VPN endpoint-era iristeko erabiltzen duena, eta sarritan pribatua da hornitzailearen NATaren atzean. Tunel helbidea VPNaren barruan bizi da, zerbitzariak edo bezeroak ematen du produktuaren arabera. Irteera publikoa da webgune urrun batek itzulpenaren ondoren erregistratzen duen helbidea, eta ez du zertan kontsulta dezakezun interfaze batean existitu.
Makina baterako helbide publiko bakarra erakusten duen panel batek oso gutxi esaten dizu beste bi rolei buruz. Underlay-ren irisgarritasuna baldintza bat da, ez erosketa bat: etxeko router baten atzean dagoen ordenagailu eramangarri batek ostatatutako VPN endpoint batera irits daiteke IPv4 helbide publikorik eduki gabe. Ezin duzuna da sarrerako bide bat asmatu inork birbidaltzen ez duen helbide batera ebazten duen izen bat idatziz.
Aukeratu helbidea zerbitzuaren arabera, ez etiketaren arabera
Idatzi zerbitzariak zer egin behar duen zenbaki bat aukeratu aurretik. Irteerako API deiak irteera egonkor bat behar dute beste alderdiak baimen-zerrenda bat mantentzen duenean. Sarbide pribatuak bezeroek bideratu dezaketen tunel helbide bat eta hari lotutako listener bat behar ditu. Ostalaritza publikoak hornitzaileak benetan eskaintzen duen sarrerako mapatze bat behar du, eta irteera helbideak bakarrik ez du hori ematen.
Makina bakar batek hiru helburuak bete ditzake eta, hala ere, hiru helbide desberdin erabili. Apurtzen dena da balio bakar batek denak estaltzen dituen ustea:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Sarrerako errenkada da jendeak eztabaidatzen duena. Irteera helbidera seinalatzen duen erregistro batek ez du listenerrik, ez suebaki-irekierarik, ez portu-mapatzerik sortzen, eta itxaroteak ez du hori aldatzen. Hornitzaileak helbide dedikatu bat sarrerako arau batekin batera saltzen duenean, sorta hori erosi duzun gaitasuna da; helbidea bere horretan ez da eskubidea.
Zein helbide zein den erakusten duten komandoak
Irakurri makina, ez panela. Interfaze-izenak desberdinak dira sistema batetik bestera, beraz elkartu helbideak gailuekin etiketa bati fidatu beharrean.
Lehenengo lerroak IPv4 helbide bakoitza eta bere gailua zerrendatzen ditu, eta bigarrenak nukleoari galdetzen dio zein gailu erabiliko lukeen kanpoko helmuga ezagun baterako:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Bideratze-kontsultak trafiko publikorako tunel gailu batekin erantzuten badu, zure tunel osoa indarrean dago. Listenerraren egiaztapenak beste hainbeste axola du, 127.0.0.1era soilik lotuta dagoen prozesu bat ez baita inoiz tunel helbidean erantzungo, argitaratzen duzun izena edozein dela ere.
Argitaratu eta gero egiaztatu kanpotik
Argitaratu zerbitzuak behar duen balioa eta ez gehiago: A edo AAAA erregistro bat ostalaritzarako, baimen-zerrendako sarrera bat irteerako deietarako, bezero-profil bat sarbide pribaturako. Ondoren probatu axola duen posiziotik, eta hori ez da inoiz oraintxe editatu duzun makina.
Bi egiaztapenek ia dena estaltzen dute, eta biak nahiko merkeak dira script batean mantentzeko:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthZure erregistroa badagoela frogatzen duen DNS erantzun bat ez da eskaera bat iristen denaren froga, eta eskaera arrakastatsu batek sare batetik bide bat funtzionatzen duela baino ez du frogatzen. Errepikatu egiaztapena konexio mugikor batetik baimen-zerrenda bat tartean dagoenean, ikusten duzun irteera helbide-familiaren eta hartutako bidearen araberakoa izan baitaiteke. Idatzi zein familia egiaztatu duzun; funtzionatzen duen IPv4 bide batek ez du ezer esaten IPv6ri buruz.
Zerbitzua sarrerakoa bada, irteera helbidea ez da nahikoa
Sarrerako sarbideak lau gauza lerrokatuta behar ditu: bezero batek irits dezakeen izen edo helbide bat, paketea makinara eramaten duen bide bat, hura onartzen duen listener bat eta hura baztertzen ez duen politika bat. VPN batek bigarren elementua aldatzen du eta batzuetan lehena, eta ez du ezer egiten hirugarren eta laugarrenerako. Tunela entrega-bidea denean, bezeroak tunel helbidera konektatzen dira, ez irteerara.
Idatzi zerbitzu bakoitzak zein helbiderekiko mendekotasuna duen, eta berrikusi ohar hori hornitzaileak bere bideratze-eredua aldatzen duen bakoitzean. Pribatuan erantzun eta publikoan huts egiten duen zerbitzari bat normalean ez dago hondatuta; identitate okerrarekin ari da erantzuten, eta konponketa mapatze-erabaki bat da, ez suebaki-aldaketa bat.