Nyilvános előtag VPN-ügyfeleknek: mit ront el valójában

Az az ügyfélkészlet, amelyet azért választottak, mert a számok rendezettnek tűnnek, egy telepítésre váró útvonal. Az előtag nem kell, hogy privát legyen ahhoz, hogy a VPN működjön, és egy máséhoz tartozó blokk használata sem teszi automatikusan nyilvánossá a felhasználókat az interneten. Amit tesz, hogy ezek a címek mást jelentenek, amíg az alagút áll, majd megint mást, amikor leesik. Menjen végig az alábbi öt ellenőrzésen sorrendben, és álljon meg ott, ahol a válasz „máshova kiosztva”.

A kiosztás nem bejelentés

A cím alagút-interfészre helyezése nem jelenti be azt az interneten. A nyilvános elérhetőséghez útvonal, engedélyezett ösvény és azt hordozni hajlandó szolgáltató kell, és ezek egyike sem jelenik meg attól, hogy egy ügyfél címét egy készletből kapta. A tűzfal-szabályzat és a gazdagép-engedélyezés megint külön döntés.

Ezért a kockázat nem az, amit a legtöbben feltételeznek. A kölcsönzött előtag nem teszi elérhetővé az ügyfeleit; elérhetetlenné teszi valaki más céljait az ügyfelei felől, ami más tulajdonossal járó más hibamód. Senkit nem ér támadás, és semmilyen bejelentés nem szökik ki. A felhasználó egyszerűen nem tud megnyitni egy oldalt, amely tegnap működött, és a helpdesknek nincs oka gyanakodni a VPN-készletre.

A megkülönböztetés fontos a készlet kiválasztásakor. Ha az egyetlen aggodalma az internet felé való kitettség lenne, egy nyilvános blokk biztonságosnak tűnne, mert semmi nem jelenti be. Az aggodalom a helyi útvonal, amelyet az ügyfél ehhez az előtaghoz telepít, és ezt az útvonalat attól függetlenül telepíti, hogy más látja-e.

Mit fog el valójában az ügyfél útvonala

Amikor az alagút feljön, az ügyfél útvonalat kap a készlet előtagjához, és ez az útvonal legyőzi az alapértelmezett útvonalat minden benne lévő cél esetében. Az ebben a blokkban lévő legitim gazdagéphez intézett kérés most az internet helyett a VPN-hez megy. Hogy meghiúsul, elakad vagy rossz kiszolgálóra érkezik, attól függ, mit tesz az Ön oldala vele.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Futtassa a keresést felálló alagúttal, majd újra leesettel. A cím az első esetben egy dolgot jelent, a másodikban valami egészen mást, és minden olyan alkalmazás, amely átvészelte ezt az átmenetet egy kapcsolat vagy névfeloldás gyorsítótárával, következetlenül viselkedik. Ezt a következetlenséget nehezebb támogatni, mint egy tiszta hibát, mert az időzítéstől függ. Az a felhasználó, aki rossz pillanatban csatlakozik újra, más élményt kap, mint aki nem.

Ezért sem bizonyíték a személyazonosságra egy ismerős IP-cím. Tartsa meg a tanúsítvány- és kiszolgálónév-ellenőrzést a valódi célhoz, mert az a numerikus cím, amelyet öt perccel ezelőtt elért, most már egy másik beszélgetéshez tartozhat.

Hasonlítsa össze a készletet minden ismert hálózattal

RFC 1918 három blokkot különít el privát használatra: 192.168.0.0/16, 172.16.0.0/12 és 10.0.0.0/8. Milliók külön szervezet használja újra őket, tehát a privát a kiosztásról szóló állítás, és soha nem ígéret arra, hogy senki más nem választotta ugyanazokat a számokat.

Hasonlítsa össze a jelölt készletet irodai LAN-okkal, felhős VPC-kkel, más VPN-készletekkel, partnervonalakkal és azokkal a tartományokkal, amelyek valószínűleg otthon vannak a távmunkásoknál. Az otthoni eset nem ok arra, hogy furcsa előtagot találjon ki; ok arra, hogy a készlet kicsi és dokumentált maradjon.

Hangolja össze a kiosztást azzal, aki az útvonalválasztást birtokolja, és ugyanott rögzítse a visszautat. Az a készlet, amelyhez senki nem tud visszaútvonalazni, olyan készlet, amely egy kiesés során újra felfedezésre kerül. Tegye a készletet ugyanabba a dokumentumba, mint a telephelyi tartományokat, ne egy ügyfélkonfigurációba, amelyet csak egy ember szerkesztett. A dokumentum az, ami a következő ütközést elkerülhetővé teszi.

Mikor a nyilvános címzés a helyes válasz

A megfelelően kiosztott globális címtartománnyal rendelkező szervezetek építhetnek nyilvános címzésű VPN-készletet, és néhányan ezt szándékosan teszik a fordítás elkerülésére. Ez a kialakítás továbbra is igényel útvonalválasztást, forrásellenőrzést, hozzáférési szabályokat és ügyfél-hitelesítést; a kiosztás egyiket sem adja.

Amit ad, az az egyediség, az a tulajdonság, amely a kölcsönzött előtagból hiányzik. Ha Öné a blokk, az ügyfél által telepített útvonal olyan címekre mutat, amelyek valóban az Önéi, és a jelentés nem változik meg, amikor az alagút leesik.

Ne adjon hozzá automatikusan NAT-ot egy készletválasztás kompenzálására. Az explicit visszautakkal rendelkező, útvonalvezérelt privát kialakítás tisztább, mint a fordítás, amelyet azért alkalmaznak, mert a címzést soha nem tervezték meg, és az IPv6-nak saját, szándékos tervre van szüksége, nem az IPv4 feltevéseinek másolatára.

Vonjon ki egy rossz készletet hozzáférésvesztés nélkül

Ha a készlet már telepítve van, készítsen leltárt a módosítás előtt: címfoglalások, telepített útvonalak, a blokkba feloldódó DNS-rekordok, tűzfalhatókörök és az azoktól függő alkalmazások. Ezután ütemezze a változást ugyanolyan gonddal, mint bármely más útvonalváltást. Jelentse be azoknak, akik észreveszik, mert a munkameneteik megszakadnak, amikor a készlet elmozdul. Az ügyfélcímzés csendes megváltoztatása olyan támogatási jegyeket generál, amelyek a munkától függetlennek tűnnek.

Őrizzen meg egy helyreállítási útvonalat, amely nem függ az eltávolított készlettől, mert abban a pillanatban, amikor visszavonja, a távoli hozzáférése is eltűnhet vele. Ezután ellenőrizze mindkét irányt: a tervezett privát célok továbbra is működnek, és a korábban elkapott internetes célok most a valódi tulajdonosaikra oldódnak fel.

Amit szeretne, az egy készlet, amelyet a hálózati csapat egyetlen összefüggő dologként tud kiosztani, útvonalazni és kivonni. Egy címformátum önmagában sem biztonságot, sem kapcsolatot nem teremt.