Հանրային նախածանց VPN հաճախորդների համար. ինչ է այն իրականում կոտրում

Հաճախորդների լողավազանը, որն ընտրվել է այն պատճառով, որ թվերը կոկիկ են թվում, տեղադրման սպասող երթուղի է։ Նախածանցը պարտադիր չէ, որ մասնավոր լինի, որպեսզի VPN-ը աշխատի, և ուրիշին պատկանող բլոկի օգտագործումը նույնպես ինքնաբերաբար չի բացահայտում ձեր օգտատերերին ինտերնետում։ Ինչ անում է այն՝ այդ հասցեները նշանակում են այլ բան, քանի դեռ թունելը վերևում է, և հետո նորից այլ բան, երբ այն ընկնում է։ Անցեք ներքևի հինգ ստուգումները հերթականությամբ և կանգ առեք այնտեղ, որտեղ պատասխանը «այլ տեղ հատկացված» է։

Հատկացումը հայտարարություն չէ

Թունելի ինտերֆեյսի վրա հասցե դնելը այն չի հայտարարում ինտերնետում։ Հանրային հասանելիությունը պահանջում է երթուղի, լիազորված ուղի և մատակարար, որը պատրաստ է այն տանել, և դրանցից ոչ մեկը չի հայտնվում այն պատճառով, որ հաճախորդը հասցեն ստացել է լողավազանից։ Հրդեհային պատի քաղաքականությունը և հոսթի լիազորումը կրկին առանձին որոշումներ են։

Ահա թե ինչու ռիսկը այն չէ, ինչ ենթադրում են մարդկանց մեծ մասը։ Փոխառված նախածանցը ձեր հաճախորդներին հասանելի չի դարձնում. այն ուրիշի նշանակակետերը դարձնում է անհասանելի ձեր հաճախորդներից, ինչը այլ սեփականատիրոջ այլ խափանում է։ Ոչ ոքի վրա հարձակում չի լինում և ոչ մի հայտարարություն դուրս չի սպրդում։ Օգտատերը պարզապես չի կարող բացել մի կայք, որն աշխատում էր երեկ, և աջակցության ծառայությունը պատճառ չունի կասկածելու VPN-ի լողավազանին։

Տարբերությունը կարևոր է լողավազան ընտրելիս։ Եթե ձեր միակ մտահոգությունը ինտերնետում բացահայտվելը լիներ, հանրային բլոկը ապահով կթվար, որովհետև ոչինչ այն չի հայտարարում։ Մտահոգությունը տեղական երթուղին է, որը հաճախորդը տեղադրում է այդ նախածանցի համար, և այդ երթուղին տեղադրվում է անկախ այն բանից՝ տեսնում է այն որևէ մեկը, թե ոչ։

Ինչ է իրականում գրավում հաճախորդի երթուղին

Երբ թունելը բարձրանում է, հաճախորդը ստանում է երթուղի լողավազանի նախածանցի համար, և այդ երթուղին հաղթում է լռելյայն երթուղուն դրա ներսում գտնվող յուրաքանչյուր նշանակակետի համար։ Այդ բլոկում օրինական հոսթին ուղղված հարցումն այժմ գնում է VPN, ոչ թե ինտերնետ։ Այն կձախողվի, կկախվի կամ կհասնի սխալ սերվերի՝ կախված նրանից, թե ձեր կողմն ինչ է անում դրա հետ։

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Կատարեք որոնումը թունելը բարձրացրած և նորից այն իջեցրած։ Հասցեն առաջին դեպքում մի բան է նշանակում, իսկ երկրորդում՝ բոլորովին այլ, և ցանկացած հավելված, որը պահել է կապ կամ անվան լուծում այդ անցման ընթացքում, իրեն կպահի անհետևողական։ Այդ անհետևողականությունը ավելի դժվար է աջակցել, քան մաքուր խափանումը, որովհետև այն կախված է ժամանակից։ Սխալ պահին նորից միացող օգտատերը այլ փորձ է ստանում, քան նա, ով դա չի անում։

Ահա թե ինչու ծանոթ IP հասցեն ինքնության ապացույց չէ։ Պահպանեք վկայագրի և սերվերի անվան ստուգումը իրական նշանակակետի համար, որովհետև այն թվային հասցեն, որին հասել եք հինգ րոպե առաջ, այժմ կարող է պատկանել այլ զրույցի։

Համեմատեք լողավազանը ձեր իմացած յուրաքանչյուր ցանցի հետ

RFC 1918-ը երեք բլոկ է առանձնացնում մասնավոր օգտագործման համար՝ 192.168.0.0/16, 172.16.0.0/12 և 10.0.0.0/8։ Միլիոնավոր առանձին կազմակերպություններ դրանք նորից են օգտագործում, ուստի «մասնավոր»-ը հայտարարություն է հատկացման մասին և երբեք խոստում, որ ոչ ոք ուրիշ նույն թվերը չի ընտրել։

Համեմատեք թեկնածու լողավազանը գրասենյակային LAN-երի, ամպային VPC-ների, այլ VPN լողավազանների, գործընկերային կապերի և այն տիրույթների հետ, որոնք հեռավար աշխատողները հավանաբար ունեն տանը։ Տնային դեպքը տարօրինակ նախածանց հորինելու պատճառ չէ. այն պատճառ է լողավազանը փոքր և փաստաթղթավորված պահելու համար։

Համաձայնեցրեք հատկացումը նրա հետ, ով տիրապետում է երթուղավորմանը, և վերադարձի ուղին գրանցեք նույն տեղում։ Այն լողավազանը, որին ոչ ոք չի կարող հետադարձ երթուղավորել, լողավազան է, որը կրկին կհայտնաբերվի խափանման ժամանակ։ Տեղադրեք լողավազանը նույն փաստաթղթում, ինչ կայքերի տիրույթները, ոչ թե հաճախորդի կարգավորումում, որը խմբագրել է միայն մեկ մարդ։ Փաստաթուղթն է, որ հաջորդ բախումը դարձնում է խուսափելի։

Երբ հանրային հասցեավորումը ճիշտ պատասխանն է

Պատշաճ հատկացված գլոբալ տարածք ունեցող կազմակերպությունները կարող են միանգամայն կառուցել հանրային հասցեներով VPN լողավազան, և ոմանք դա անում են դիտավորյալ՝ թարգմանությունից խուսափելու համար։ Այդ ձևավորումը դեռ պահանջում է երթուղավորում, աղբյուրի վավերացում, մուտքի կանոններ և հաճախորդի նույնականացում. հատկացումը դրանցից ոչ մեկը չի տալիս։

Ինչ տալիս է այն՝ եզակիություն, այն հատկությունը, որից զուրկ է փոխառված նախածանցը։ Եթե բլոկը ձերն է, ձեր հաճախորդի տեղադրած երթուղին ուղղված է հասցեների, որոնք իսկապես ձերն են, և իմաստը չի փոխվում, երբ թունելն ընկնում է։

Մի՛ ավելացրեք NAT ավտոմատ կերպով՝ լողավազանի ընտրությունը փոխհատուցելու համար։ Բացահայտ վերադարձի երթուղիներով երթուղավորված մասնավոր ձևավորումն ավելի մաքուր է, քան թարգմանությունը, որը կիրառվում է այն պատճառով, որ հասցեավորումը երբեք չի պլանավորվել, և IPv6-ը պահանջում է իր սեփական դիտավորյալ պլանը, այլ ոչ IPv4-ի ենթադրությունների պատճենը։

Դուրս բերեք վատ լողավազանը՝ չկորցնելով հասանելիությունը

Եթե լողավազանն արդեն տեղակայված է, մինչ փոփոխելը կազմեք գույքագրում՝ հասցեների ամրագրումներ, տեղադրված երթուղիներ, DNS գրառումներ, որոնք լուծվում են բլոկի մեջ, հրդեհային պատի ծավալներ և դրանցից կախված հավելվածներ։ Այնուհետև պլանավորեք փոփոխությունը նույն խնամքով, ինչ ցանկացած այլ երթուղավորման անցում։ Հայտարարեք այն մարդկանց, ովքեր կնկատեն, որովհետև նրանց սեսիաները կընդհատվեն, երբ լողավազանը տեղափոխվի։ Հաճախորդների հասցեավորման լուռ փոփոխությունը ստեղծում է աջակցության տոմսեր, որոնք կարծես կապ չունեն աշխատանքի հետ։

Պահպանեք վերականգնման ուղի, որը կախված չէ ձեր հեռացվող լողավազանից, որովհետև այն հետ կանչելու պահը հենց այն պահն է, երբ ձեր հեռավոր հասանելիությունը կարող է անհետանալ դրա հետ։ Այնուհետև վավերացրեք երկու ուղղությունները՝ նախատեսված մասնավոր նշանակակետերը դեռ աշխատում են, և նախկինում գրավված ինտերնետ նշանակակետերն այժմ լուծվում են իրենց իրական սեփականատերերի մոտ։

Ինչ ուզում եք՝ լողավազան է, որը ցանցային թիմը կարող է հատկացնել, երթուղավորել և դուրս բերել որպես մեկ համահունչ բան։ Հասցեի ձևաչափն ինքնին չի հաստատում ոչ անվտանգություն, ոչ կապ։