Mikä osoite kuuluu DNS:ään VPN:n kautta yhdistetylle palvelimelle?
Ylläpidetyllä palvelimella on kolme osoitetta, eivätkä ne ole vaihdettavissa. Valitse arvo, jonka kukin palvelu tarvitsee, ja vahvista se sitten koneen ulkopuolelta.
Ylläpidetyllä palvelimella, johon on asennettu VPN, on lopulta kolme osoitetta, ja vain yksi niistä kuuluu kuhunkin paikkaan, jota olet juuri määrittämässä. Numeron kopioiminen palveluntarjoajan paneelista DNS:ään, kuuntelijaan tai sallittujen luetteloon on se tapa, jolla toimiva tunneli muuttuu palveluksi, johon kukaan ei pääse. Tämä opas järjestää työn niin, että jokainen osoite valitaan ilmoitettua tarkoitusta varten. Se luettelee myös komennot, jotka vahvistavat, mitä todella julkaisit.
Kartoita kolme osoitetta ennen kuin julkaiset mitään
Nimeä ne tehtävän mukaan. Underlay-osoite on se, jota kone käyttää VPN:n päätepisteen saavuttamiseen internetin yli, ja se on usein yksityinen palveluntarjoajan NAT:n takana. Tunneliosoite elää VPN:n sisällä, ja sen jakaa palvelin tai asiakas tuotteesta riippuen. Julkinen lähtö on osoite, jonka etäsivusto kirjaa käännöksen jälkeen, eikä sen tarvitse olla olemassa millään rajapinnalla, jota voit kysellä.
Paneeli, joka näyttää yhden julkisen osoitteen koneelle, kertoo hyvin vähän kahdesta muusta roolista. Underlayn tavoitettavuus on vaatimus, ei ostos: kotireitittimen takana oleva kannettava voi saavuttaa ylläpidetyn VPN-päätepisteen omistamatta julkista IPv4-osoitetta. Sitä et voi tehdä, että keksit saapuvan reitin kirjoittamalla nimen, joka ratkeaa osoitteeksi, jota kukaan ei välitä eteenpäin.
Valitse osoite palvelun mukaan, ei tarran mukaan
Kirjoita muistiin, mitä palvelimen on tehtävä ennen kuin valitset numeron. Lähtevät API-kutsut tarvitsevat vakaan lähdön, kun toinen osapuoli pitää sallittujen luetteloa. Yksityinen pääsy tarvitsee tunneliosoitteen, johon asiakkaat voivat reitittää, ja siihen sidotun kuuntelijan. Julkinen ylläpito tarvitsee saapuvan kuvauksen, jota palveluntarjoaja todella tarjoaa, eikä lähtöosoite yksin tarjoa sitä.
Yksi kone voi palvella kaikkia kolmea tarkoitusta ja käyttää silti kolmea eri osoitetta. Rikki menee oletus, että yksi arvo kattaa ne kaikki:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Saapuva rivi on se, josta ihmiset väittelevät. Lähtöosoitteeseen osoittava tietue ei luo kuuntelijaa, palomuurin aukkoa eikä portin kuvausta, eikä odottaminen muuta sitä. Kun palveluntarjoaja myy erillisen osoitteen yhdessä saapuvan säännön kanssa, se paketti on se kyvykkyys, jonka ostit; osoite itsessään ei ole oikeus.
Komennot, jotka näyttävät, mikä osoite on mikä
Lue konetta, älä paneelia. Rajapintojen nimet eroavat järjestelmien välillä, joten yhdistä osoitteet laitteisiin sen sijaan, että luottaisit tarraan.
Ensimmäinen rivi luettelee jokaisen IPv4-osoitteen ja sen laitteen, ja toinen kysyy ytimeltä, mitä laitetta se käyttäisi tunnettuun ulkoiseen kohteeseen:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Jos reittihaku vastaa julkisen liikenteen osalta tunnelilaitteella, täysi tunnelisi on voimassa. Kuuntelijan tarkistus on yhtä tärkeä, koska vain 127.0.0.1:een sidottu prosessi ei koskaan vastaa tunneliosoitteessa, minkä nimen tahansa julkaiset.
Julkaise se ja tarkista sitten ulkopuolelta
Julkaise arvo, jonka palvelu tarvitsee, eikä mitään muuta: A- tai AAAA-tietue ylläpitoa varten, sallittujen luettelon merkintä lähteville kutsuille, asiakasprofiili yksityiselle pääsylle. Testaa sitten asennosta, jolla on merkitystä, eikä se ole koskaan kone, jota juuri muokkasit.
Kaksi tarkistusta kattaa suurimman osan, ja molemmat ovat tarpeeksi halpoja pidettäviksi skriptissä:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS-vastaus, joka todistaa tietueesi olemassaolon, ei ole todiste siitä, että pyyntö saapuu, ja yksi onnistunut pyyntö todistaa vain, että yksi reitti toimii yhdestä verkosta. Toista tarkistus matkapuhelinliittymästä, kun sallittujen luettelo on mukana, koska havaitsemasi lähtö voi riippua osoiteperheestä ja valitusta reitistä. Merkitse muistiin, minkä perheen vahvistit; toimiva IPv4-reitti ei kerro IPv6:sta yhtään mitään.
Jos palvelu on saapuva, lähtöosoite ei riitä
Saapuva pääsy tarvitsee neljä asiaa linjaan: nimen tai osoitteen, johon asiakas pääsee, reitin, joka toimittaa paketin koneelle, kuuntelijan, joka ottaa sen vastaan, ja käytännön, joka ei pudota sitä. VPN muuttaa toista elementtiä ja joskus ensimmäistä, eikä se tee kolmannelle ja neljännelle mitään. Kun tunneli on toimitusreitti, asiakkaat yhdistävät tunneliosoitteeseen, eivät lähtöön.
Kirjaa, mistä osoitteesta kukin palvelu riippuu, ja käy merkintä uudelleen läpi aina, kun palveluntarjoaja muuttaa reititysmalliaan. Palvelin, joka vastaa yksityisesti ja epäonnistuu julkisesti, ei yleensä ole rikki; se vastaa väärällä identiteetillä, ja korjaus on kuvauspäätös eikä palomuurin muutos.