Prefiks publik untuk klien VPN: apa yang sebenarnya rusak

Kumpulan klien yang dipilih karena angkanya tampak rapi adalah rute yang menunggu dipasang. Prefiks tidak harus privat agar VPN berfungsi, dan memakai blok milik orang lain juga tidak otomatis mengekspos pengguna Anda ke internet. Yang dilakukannya adalah membuat alamat-alamat itu bermakna lain selama terowongan naik, lalu bermakna lain lagi saat terowongan putus. Jalankan lima pemeriksaan di bawah secara berurutan dan berhenti di tempat jawabannya «dialokasikan di tempat lain».

Penetapan bukan pengumuman

Menaruh alamat pada antarmuka terowongan tidak mengumumkannya ke internet. Keterjangkauan publik membutuhkan rute, jalur yang diizinkan, dan penyedia yang bersedia membawanya, dan tidak satu pun muncul karena klien menerima alamat dari kumpulan. Kebijakan firewall dan otorisasi host juga keputusan terpisah.

Itulah sebabnya risikonya bukan seperti yang diduga kebanyakan orang. Prefiks pinjaman tidak membuat klien Anda terjangkau; ia membuat tujuan orang lain tidak terjangkau dari klien Anda, yang merupakan kegagalan berbeda dengan pemilik berbeda. Tidak ada yang diserang dan tidak ada pengumuman yang lolos. Pengguna sekadar tidak bisa membuka situs yang kemarin berfungsi, dan meja bantuan tidak punya alasan mencurigai kumpulan VPN.

Perbedaan ini penting saat memilih kumpulan. Jika satu-satunya kekhawatiran Anda adalah paparan ke internet, blok publik akan tampak aman karena tidak ada yang mengumumkannya. Kekhawatirannya adalah rute lokal yang dipasang klien untuk prefiks itu, dan rute itu tetap dipasang entah orang lain bisa melihatnya atau tidak.

Apa yang sebenarnya ditangkap rute klien

Saat terowongan naik, klien menerima rute untuk prefiks kumpulan, dan rute itu mengalahkan rute bawaan untuk setiap tujuan di dalamnya. Permintaan ke host yang sah di blok itu kini pergi ke VPN alih-alih ke internet. Apakah gagal, menggantung, atau mencapai server yang salah bergantung pada apa yang dilakukan sisi Anda dengannya.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Jalankan pencarian dengan terowongan naik dan lagi dengan terowongan turun. Alamat itu berarti satu hal pada kasus pertama dan sesuatu yang sama sekali berbeda pada kasus kedua, dan aplikasi apa pun yang menyimpan koneksi atau resolusi nama selama transisi itu akan berperilaku tidak konsisten. Ketidakkonsistenan itu lebih sulit didukung daripada kegagalan bersih, karena bergantung pada waktu. Pengguna yang menyambung ulang pada saat yang salah mendapat pengalaman berbeda dari yang tidak.

Itu juga sebabnya alamat IP yang familier bukan bukti identitas. Pertahankan validasi sertifikat dan nama server untuk tujuan sebenarnya, karena alamat numerik yang Anda capai lima menit lalu kini mungkin milik percakapan lain.

Bandingkan kumpulan itu dengan setiap jaringan yang Anda kenal

RFC 1918 menyisihkan tiga blok untuk penggunaan privat: 192.168.0.0/16, 172.16.0.0/12 dan 10.0.0.0/8. Jutaan organisasi terpisah memakainya ulang, jadi privat adalah pernyataan tentang alokasi dan tidak pernah janji bahwa tidak ada orang lain yang memilih angka yang sama.

Bandingkan kumpulan kandidat dengan LAN kantor, VPC cloud, kumpulan VPN lain, tautan mitra, dan rentang yang mungkin dimiliki pekerja jarak jauh di rumah. Kasus rumah bukan alasan menciptakan prefiks aneh; itu alasan menjaga kumpulan tetap kecil dan terdokumentasi.

Koordinasikan alokasi dengan pihak yang memiliki perutean, dan catat jalur kembali di tempat yang sama. Kumpulan yang tidak bisa dirutekan balik oleh siapa pun adalah kumpulan yang akan ditemukan kembali saat gangguan. Taruh kumpulan di dokumen yang sama dengan rentang situs, bukan di konfigurasi klien yang hanya diedit satu orang. Dokumen itulah yang membuat tabrakan berikutnya bisa dihindari.

Kapan pengalamatan publik adalah jawaban yang tepat

Organisasi dengan ruang global yang dialokasikan dengan benar bisa membangun kumpulan VPN beralamat publik, dan sebagian melakukannya dengan sengaja untuk menghindari translasi. Desain itu tetap memerlukan perutean, validasi sumber, aturan akses, dan autentikasi klien; alokasi tidak menyediakan satu pun.

Yang disediakannya adalah keunikan, sifat yang tidak dimiliki prefiks pinjaman. Jika Anda memegang blok itu, rute yang dipasang klien Anda menunjuk ke alamat yang benar-benar milik Anda, dan maknanya tidak berubah saat terowongan putus.

Jangan menambahkan NAT secara otomatis untuk mengompensasi pilihan kumpulan. Desain privat berute dengan jalur kembali eksplisit lebih bersih daripada translasi yang diterapkan karena pengalamatan tidak pernah direncanakan, dan IPv6 memerlukan rencana sengaja tersendiri alih-alih salinan asumsi IPv4.

Pensiunkan kumpulan yang buruk tanpa kehilangan akses

Jika kumpulan sudah diterapkan, lakukan inventarisasi sebelum mengubahnya: reservasi alamat, rute terpasang, catatan DNS yang mengarah ke blok itu, cakupan firewall, dan aplikasi yang bergantung padanya. Lalu jadwalkan perubahan dengan hati-hati seperti peralihan perutean lainnya. Umumkan kepada orang-orang yang akan menyadarinya, karena sesi mereka akan putus saat kumpulan berpindah. Perubahan senyap pada pengalamatan klien menghasilkan tiket dukungan yang tampak tidak terkait pekerjaan.

Pertahankan jalur pemulihan yang tidak bergantung pada kumpulan yang Anda hapus, karena saat Anda menariknya adalah saat akses jarak jauh Anda mungkin hilang bersamanya. Setelah itu validasi kedua arah: tujuan privat yang dimaksudkan masih berfungsi, dan tujuan internet yang dulu tertangkap kini mengarah ke pemilik sebenarnya.

Yang Anda inginkan adalah kumpulan yang bisa dialokasikan, dirutekan, dan dipensiunkan tim jaringan sebagai satu hal yang koheren. Format alamat saja tidak membangun keamanan maupun konektivitas.