In iepenbier foarheaksel foar VPN-klanten: wat it eins brekt

In klantpoel dy't keazen is om't de nûmers der kreas út sjogge, is in rûte dy't wachtet om ynstallearre te wurden. It foarheaksel hoecht net privee te wêzen om de VPN wurkje te litten, en it brûken fan in blok dat fan in oar is, stellt dyn brûkers ek net automatysk bleat oan it ynternet. Wat it docht, is dy adressen wat oars betsjutte litte salang't de tunnel omheech is, en dan wer wat oars as er falt. Wurkje de fiif kontrôles hjirûnder yn folchoarder troch en stopje wêr't it antwurd „earne oars tawiisd“ is.

Tawizing is gjin oankundiging

In adres op in tunnelinterface sette kundiget it net oan op it ynternet. Iepenbiere berikberens freget in rûte, in autorisearre paad en in oanbieder dy't ree is it te dragen, en net ien fan dy ferskynt om't in klant it adres fan in poel krigen hat. Firewallbelied en hostautorisasje binne wer aparte besluten.

Dêrom is it risiko net wat de measte minsken oannimme. It liende foarheaksel makket dyn klanten net berikber; it makket de bestimmingen fan in oar ûnberikber fan dyn klanten ôf, wat in oare flater is mei in oare eigner. Nimmen wurdt oanfallen en gjin oankundiging ûntkomt. In brûker kin gewoan in side net iepenje dy't juster wurke, en de helpdesk hat gjin reden om de VPN-poel te fertinken.

It ûnderskied is wichtich as jo in poel kieze. As jo iennichste soarch bleatstelling oan it ynternet wie, soe in iepenbier blok feilich lykje om't neat it oankundiget. De soarch is de lokale rûte dy't de klant foar dat foarheaksel ynstallearret, en dy rûte wurdt ynstallearre oft in oar it no sjen kin of net.

Wat de klantrûte feitlik fangt

As de tunnel omheech komt, krijt de klant in rûte foar it foarheaksel fan 'e poel, en dy rûte wint fan 'e standertrûte foar elke bestimming derbinnen. In fersyk oan in legitime host yn dat blok giet no nei de VPN ynstee fan it ynternet. Oft it mislearret, hinget of by de ferkearde server útkomt, hinget ôf fan wat jo kant der mei docht.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Fier de syktocht út mei de tunnel omheech en wer mei him del. It adres betsjut ien ding yn it earste gefal en hielendal wat oars yn it twadde, en elke applikaasje dy't in ferbining of in nammebepaling oer dy oergong hinne bewarre hat, sil him inkonsekwint gedrage. Dy inkonsistinsje is hurder te stypjen as in skjinne flater, om't it fan timing ôfhinget. In brûker dy't op it ferkearde momint wer ferbynt, krijt in oare ûnderfining as ien dy't dat net docht.

Dêrom is in fertroud IP-adres ek gjin bewiis fan identiteit. Hâld sertifikaat- en servernamfalidaasje foar de echte bestimming, om't it nûmerike adres dat jo fiif minuten lyn berikten no by in oare konversaasje hearre kin.

Fergelykje de poel mei elk netwurk dat jo kenne

RFC 1918 set trije blokken oan 'e kant foar privee gebrûk: 192.168.0.0/16, 172.16.0.0/12 en 10.0.0.0/8. Miljoenen aparte organisaasjes brûke se wer, dus privee is in útspraak oer tawizing en nea in belofte dat nimmen oars deselde nûmers keazen hat.

Fergelykje de kandidaatpoel mei kantoar-LAN's, cloud-VPC's, oare VPN-poelen, partnerferbiningen en de berikken dy't thúswurkers wierskynlik thús hawwe. It gefal thús is gjin reden om in frjemd foarheaksel te betinken; it is in reden om de poel lyts en dokumintearre te hâlden.

Koördinearje de tawizing mei wa't it routingen besit, en liz de weromrûte op itselde plak fêst. In poel dêr't nimmen nei weromrûtsje kin, is in poel dy't by in steuring op 'en nij ûntdutsen wurde sil. Set de poel yn itselde dokumint as de sideberikken, net yn in klantkonfiguraasje dy't mar ien persoan bewurke hat. It dokumint is wat de folgjende botsing foarkomber makket.

Wannear't iepenbiere adressearring it juste antwurd is

Organisaasjes mei goed tawiisde globale romte kinne grif in VPN-poel mei iepenbiere adressen bouwe, en guon dogge dat opsetlik om fertaling te foarkommen. Dat ûntwerp hat noch altyd routingen, boarnefalidaasje, tagongsregels en klantautentikaasje nedich; de tawizing leveret dêr neat fan.

Wat it wol leveret, is unisiteit, it eigenskip dat it liende foarheaksel mist. As jo it blok hawwe, wiist de rûte dy't jo klant ynstallearret nei adressen dy't echt fan jo binne, en de betsjutting feroaret net as de tunnel falt.

Foegje net automatysk NAT ta om in poelkar te kompensearjen. In rûtearre privee ûntwerp mei eksplisite weromrûtes is skjinmer as fertaling dy't tapast wurdt om't de adressearring nea pland wie, en IPv6 hat syn eigen opsetlike plan nedich ynstee fan in kopy fan 'e IPv4-oannames.

Nim in minne poel út gebrûk sûnder tagong te ferliezen

As de poel al útrôle is, meitsje dan in ynventaris ear't jo him feroarje: adresreservaasjes, ynstallearre rûtes, DNS-rekords dy't yn it blok oplosse, firewallberikken en de applikaasjes dy't dêrfan ôfhingje. Planje dêrnei de feroaring mei deselde soarch as elke oare routingsoergong. Kundigje it oan by de minsken dy't it opmerke sille, om't har sesjes falle sille as de poel ferhuze. In stil feroaring oan klantadressearring generearret stipekaarten dy't los fan it wurk lykje.

Bewarje in herstelpaad dat net ôfhinget fan 'e poel dy't jo ôfskaffe, om't it momint dat jo him weromlûke it momint is dat jo remote tagong dermei ferdwine kin. Falidearje dêrnei beide rjochtingen: de bedoelde privee bestimmingen wurkje noch, en de ynternetbestimmingen dy't earder fongen waarden, oplosse no nei har echte eigners.

Wat jo wolle, is in poel dy't it netwurkteam as ien gearhingjend ding tawize, rûtsje en ôfskaffe kin. In adresformaat op himsels fêstiget noch feiligens noch ferbining.