Javni prefiks za VPN klijente: što zapravo kvari

Klijentski bazen odabran zato što brojevi izgledaju uredno je ruta koja čeka ugradnju. Prefiks ne mora biti privatni da bi VPN radio, a korištenje bloka koji pripada nekome drugom također ne izlaže vaše korisnike internetu automatski. Ono što radi jest da te adrese znače nešto drugo dok je tunel podignut, a zatim opet znače nešto drugo kad padne. Prođite kroz pet provjera u nastavku redom i zaustavite se tamo gdje je odgovor „dodijeljeno negdje drugdje“.

Dodjela nije najava

Stavljanje adrese na sučelje tunela ne najavljuje je internetu. Javna dostupnost zahtijeva rutu, autorizirani put i pružatelja spremnog nositi je, a ništa od toga ne nastaje zato što je klijent dobio adresu iz bazena. Firewall politika i autorizacija hosta opet su odvojene odluke.

Zato rizik nije ono što većina pretpostavlja. Posuđeni prefiks ne čini vaše klijente dostupnima; čini odredišta nekoga drugog nedostupnima s vaših klijenata, što je drugačiji kvar s drugačijim vlasnikom. Nitko nije napadnut i nikakva najava ne izlazi. Korisnik jednostavno ne može otvoriti stranicu koja je jučer radila, a helpdesk nema razloga sumnjati u VPN bazen.

Razlika je važna kad birate bazen. Da je vaša jedina briga bila izlaganje internetu, javni blok izgledao bi sigurno jer ga ništa ne najavljuje. Briga je lokalna ruta koju klijent instalira za taj prefiks, a ta se ruta instalira bez obzira vidi li je još netko.

Što klijentska ruta zapravo hvata

Kad se tunel podigne, klijent dobiva rutu za prefiks bazena i ta ruta pobjeđuje zadanu rutu za svako odredište unutar njega. Zahtjev prema legitimnom hostu u tom bloku sada ide prema VPN-u umjesto prema internetu. Hoće li propasti, visjeti ili stići na pogrešan poslužitelj ovisi o tome što vaša strana radi s njim.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Pokrenite pretragu s podignutim tunelom i ponovno sa spuštenim. Adresa znači jedno u prvom slučaju i nešto posve drugo u drugom, a svaka aplikacija koja je keširala vezu ili razrješenje imena kroz taj prijelaz ponašat će se nedosljedno. Tu nedosljednost teže je podržavati od čistog kvara jer ovisi o vremenu. Korisnik koji se ponovno spoji u pogrešnom trenutku dobiva drugačije iskustvo od onoga koji to ne učini.

Zato ni poznata IP adresa nije dokaz identiteta. Zadržite provjeru certifikata i imena poslužitelja za stvarno odredište jer numerička adresa do koje ste došli prije pet minuta sada može pripadati drugoj komunikaciji.

Usporedite bazen sa svakom mrežom koju poznajete

RFC 1918 izdvaja tri bloka za privatnu upotrebu: 192.168.0.0/16, 172.16.0.0/12 i 10.0.0.0/8. Milijuni odvojenih organizacija ponovno ih koriste, pa je privatno izjava o dodjeli i nikada obećanje da nitko drugi nije odabrao iste brojeve.

Usporedite kandidatni bazen s uredskim LAN mrežama, cloud VPC-ima, drugim VPN bazenima, partnerskim vezama i rasponima koje udaljeni radnici vjerojatno imaju kod kuće. Kućni slučaj nije razlog za izmišljanje čudnog prefiksa; to je razlog da bazen ostane malen i dokumentiran.

Uskladite dodjelu s onim tko posjeduje usmjeravanje i zabilježite povratni put na istom mjestu. Bazen u koji nitko ne može usmjeriti natrag jest bazen koji će biti ponovno otkriven tijekom ispada. Stavite bazen u isti dokument kao raspone lokacija, a ne u klijentsku konfiguraciju koju je uređivala samo jedna osoba. Dokument je ono što sljedeći sudar čini izbježivim.

Kada je javno adresiranje pravi odgovor

Organizacije s ispravno dodijeljenim globalnim prostorom mogu sasvim izgraditi VPN bazen s javnim adresama, a neke to rade namjerno kako bi izbjegle prevođenje. Taj dizajn i dalje treba usmjeravanje, validaciju izvora, pravila pristupa i autentifikaciju klijenata; dodjela ne pruža ništa od toga.

Ono što pruža jest jedinstvenost, svojstvo koje posuđenom prefiksu nedostaje. Ako posjedujete blok, ruta koju vaš klijent instalira pokazuje na adrese koje su doista vaše, a značenje se ne mijenja kad tunel padne.

Ne dodajte NAT automatski kako biste nadoknadili izbor bazena. Usmjerena privatna izvedba s eksplicitnim povratnim rutama čišća je od prevođenja primijenjenog zato što adresiranje nikada nije planirano, a IPv6 treba vlastiti namjerni plan, a ne kopiju pretpostavki IPv4.

Povucite loš bazen bez gubitka pristupa

Ako je bazen već uveden, napravite inventuru prije nego što ga promijenite: rezervacije adresa, instalirane rute, DNS zapise koji se razrješavaju u blok, firewall raspone i aplikacije koje o njima ovise. Zatim zakažite promjenu s istom pažnjom kao svaki drugi prelazak usmjeravanja. Najavite je ljudima koji će to primijetiti jer će njihove sesije pasti kad se bazen premjesti. Tiha promjena adresiranja klijenata stvara zahtjeve za podršku koji izgledaju nepovezano s poslom.

Sačuvajte put oporavka koji ne ovisi o bazenu koji uklanjate jer trenutak kad ga povučete je trenutak kad vaš udaljeni pristup može nestati s njim. Zatim provjerite oba smjera: predviđena privatna odredišta još rade, a internet odredišta koja su prije bila hvatana sada se razrješavaju na svoje prave vlasnike.

Želite bazen koji mrežni tim može dodijeliti, usmjeriti i povući kao jednu koherentnu stvar. Format adrese sam po sebi ne uspostavlja ni sigurnost ni povezanost.