Julkinen etuliite VPN-asiakkaille: mitä se oikeasti rikkoo

Asiakaspooli, joka valittiin siksi, että numerot näyttävät siisteiltä, on reitti, joka odottaa asentamistaan. Etuliitteen ei tarvitse olla yksityinen, jotta VPN toimisi, eikä toiselle kuuluvan lohkon käyttäminen myöskään automaattisesti paljasta käyttäjiäsi internetille. Se tekee näistä osoitteista jotain muuta niin kauan kuin tunneli on ylhäällä, ja sitten taas jotain muuta, kun se katkeaa. Käy alla olevat viisi tarkistusta järjestyksessä läpi ja pysähdy siihen, missä vastaus on »osoitettu muualle«.

Osoittaminen ei ole ilmoitus

Osoitteen laittaminen tunnelirajapinnalle ei ilmoita sitä internetille. Julkinen tavoitettavuus vaatii reitin, valtuutetun polun ja palveluntarjoajan, joka on valmis kuljettamaan sen, eikä mikään niistä ilmesty siksi, että asiakas sai osoitteen poolista. Palomuurikäytäntö ja isännän valtuutus ovat jälleen erillisiä päätöksiä.

Siksi riski ei ole se, mitä useimmat olettavat. Lainattu etuliite ei tee asiakkaistasi tavoitettavia; se tekee jonkun toisen kohteista tavoittamattomia asiakkailtasi, mikä on erilainen vika eri omistajalla. Ketään ei hyökätä eikä mikään ilmoitus karkaa. Käyttäjä ei yksinkertaisesti voi avata sivustoa, joka toimi eilen, eikä tukipalvelulla ole syytä epäillä VPN-poolia.

Erolla on merkitystä poolia valitessa. Jos ainoa huolesi olisi altistuminen internetille, julkinen lohko näyttäisi turvalliselta, koska mikään ei ilmoita sitä. Huoli on paikallinen reitti, jonka asiakas asentaa kyseiselle etuliitteelle, ja se reitti asennetaan riippumatta siitä, näkeekö joku muu sen.

Mitä asiakkaan reitti oikeastaan kaappaa

Kun tunneli nousee, asiakas saa reitin poolin etuliitteelle, ja se reitti voittaa oletusreitin jokaiselle sen sisällä olevalle kohteelle. Pyyntö kyseisen lohkon lailliselle isännälle menee nyt VPN:lle internetin sijaan. Epäonnistuuko se, jääkö se jumiin vai päätyykö se väärälle palvelimelle, riippuu siitä, mitä sinun puolesi tekee sille.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Suorita haku tunnelin ollessa ylhäällä ja uudelleen sen ollessa alhaalla. Osoite tarkoittaa yhdessä tapauksessa yhtä ja toisessa täysin eri asiaa, ja mikä tahansa sovellus, joka on välimuistiin tallentanut yhteyden tai nimiresoluution tämän siirtymän yli, käyttäytyy epäjohdonmukaisesti. Tätä epäjohdonmukaisuutta on vaikeampi tukea kuin puhdasta vikaa, koska se riippuu ajoituksesta. Käyttäjä, joka yhdistää uudelleen väärällä hetkellä, saa erilaisen kokemuksen kuin se, joka ei tee niin.

Siksi myöskään tuttu IP-osoite ei ole todiste identiteetistä. Säilytä varmenteen ja palvelinnimen validointi todelliselle kohteelle, koska numeerinen osoite, johon pääsit viisi minuuttia sitten, voi nyt kuulua toiseen keskusteluun.

Vertaile poolia jokaiseen tuntemaasi verkkoon

RFC 1918 varaa kolme lohkoa yksityiseen käyttöön: 192.168.0.0/16, 172.16.0.0/12 ja 10.0.0.0/8. Miljoonat erilliset organisaatiot käyttävät niitä uudelleen, joten yksityinen on väite osoittamisesta eikä koskaan lupaus siitä, ettei kukaan muu valinnut samoja numeroita.

Vertaile ehdokaspoolia toimiston LAN-verkkoihin, pilven VPC-verkkoihin, muihin VPN-pooleihin, kumppaniyhteyksiin ja alueisiin, jotka etätyöntekijöillä todennäköisesti on kotona. Kotitapaus ei ole syy keksiä outoa etuliitettä; se on syy pitää pooli pienenä ja dokumentoituna.

Sovita osoittaminen yhteen sen kanssa, joka omistaa reitityksen, ja kirjaa paluupolku samaan paikkaan. Pooli, johon kukaan ei voi reitittää takaisin, on pooli, joka löydetään uudelleen katkoksen aikana. Laita pooli samaan asiakirjaan sivustojen alueiden kanssa, älä asiakasasetukseen, jota vain yksi henkilö on muokannut. Asiakirja on se, mikä tekee seuraavan törmäyksen vältettäväksi.

Milloin julkinen osoitteistus on oikea vastaus

Organisaatiot, joilla on asianmukaisesti osoitettu globaali avaruus, voivat aivan hyvin rakentaa julkisesti osoitetun VPN-poolin, ja jotkut tekevät niin tarkoituksella välttääkseen käännöksen. Tämä suunnittelu tarvitsee silti reitityksen, lähteen validoinnin, käyttösäännöt ja asiakkaan todennuksen; osoittaminen ei tarjoa yhtäkään niistä.

Mitä se tarjoaa, on ainutlaatuisuus, ominaisuus, joka lainatulta etuliitteeltä puuttuu. Jos omistat lohkon, asiakkaasi asentama reitti osoittaa osoitteisiin, jotka ovat todella sinun, eikä merkitys muutu, kun tunneli katkeaa.

Älä lisää NAT:ia automaattisesti kompensoimaan poolivalintaa. Reititetty yksityinen suunnittelu, jossa on eksplisiittiset paluureitit, on puhtaampi kuin käännös, jota sovelletaan siksi, ettei osoitteistusta koskaan suunniteltu, ja IPv6 tarvitsee oman tarkoituksellisen suunnitelmansa eikä kopiota IPv4:n oletuksista.

Poista huono pooli käytöstä menettämättä pääsyä

Jos pooli on jo käytössä, tee inventaario ennen sen muuttamista: osoitevaraukset, asennetut reitit, lohkoon ratkeavat DNS-tietueet, palomuurin laajuudet ja sovellukset, jotka riippuvat niistä. Ajoita sitten muutos yhtä huolella kuin mikä tahansa muu reitityksen siirto. Ilmoita siitä ihmisille, jotka huomaavat sen, koska heidän istuntonsa katkeavat, kun pooli siirtyy. Hiljainen muutos asiakkaiden osoitteistuksessa tuottaa tukipyyntöjä, jotka näyttävät liittymättömiltä työhön.

Säilytä palautumispolku, joka ei riipu poistamastasi poolista, koska hetki, jolloin vedät sen pois, on hetki, jolloin etäyhteytesi voi kadota sen mukana. Validoi sen jälkeen molemmat suunnat: aiotut yksityiset kohteet toimivat edelleen, ja internet-kohteet, jotka ennen kaapattiin, ratkeavat nyt todellisille omistajilleen.

Haluat poolin, jonka verkkotiimi voi osoittaa, reitittää ja poistaa käytöstä yhtenä johdonmukaisena asiana. Osoitemuoto sinänsä ei luo turvallisuutta eikä yhteyttä.