Opinbert forskeyti fyrir VPN-biðlara: hvað það eyðileggur í raun

Biðlarasafn sem valið var af því að tölurnar líta snyrtilega út er leið sem bíður uppsetningar. Forskeytið þarf ekki að vera einkarekið til að VPN virki, og notkun á blokki sem tilheyrir öðrum afhjúpar ekki notendur þína fyrir internetinu sjálfkrafa. Það sem það gerir er að láta þessi netföng merkja eitthvað annað meðan göngin eru uppi, og svo eitthvað annað aftur þegar þau falla. Farðu í gegnum fimm prófanirnar hér að neðan í röð og stansaðu þar sem svarið er „úthlutað annars staðar“.

Úthlutun er ekki tilkynning

Að setja netfang á gönguviðmót tilkynnir það ekki á internetinu. Opinbert aðgengi krefst leiðar, heimilaðrar slóðar og þjónustuaðila sem er reiðubúinn að bera hana, og ekkert þess birtist af því að biðlari fékk netfangið úr safni. Eldveggjarstefna og heimild hýsils eru aftur aðskildar ákvarðanir.

Þess vegna er áhættan ekki sú sem flestir gera ráð fyrir. Lánaða forskeytið gerir biðlara þína ekki aðgengilega; það gerir áfangastaði einhvers annars óaðgengilega frá biðlurum þínum, sem er önnur bilun með annan eiganda. Enginn er ráðinn og engin tilkynning sleppur út. Notandi getur einfaldlega ekki opnað vefsvæði sem virkaði í gær, og hjálparborðið hefur enga ástæðu til að gruna VPN-safnið.

Greiningin skiptir máli þegar þú velur safn. Ef eina áhyggjuefnið væri útsetning fyrir internetinu myndi opinber blokkur líta öruggur út af því að ekkert tilkynnir hann. Áhyggjuefnið er staðbundin leið sem biðlarinn setur upp fyrir þetta forskeyti, og sú leið er sett upp hvort sem aðrir sjá hana eða ekki.

Hvað biðlaraleiðin grípur í raun

Þegar göngin koma upp fær biðlarinn leið fyrir forskeyti safnsins, og sú leið vinnur á sjálfgefinni leið fyrir hvern áfangastað innan hennar. Beiðni til lögmæts hýsils í þeim blokki fer nú til VPN í stað internetsins. Hvort hún mistekst, hangir eða nær rangri þjóni fer eftir því hvað þín hlið gerir við hana.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Keyrðu uppflettinguna með göngin uppi og aftur með þau niðri. Netfangið merkir eitt í fyrra tilvikinu og eitthvað allt annað í því seinna, og hvert forrit sem hefur skyggt á tengingu eða nafnaupplausn yfir þessi umskipti mun hegða sér ósamkvæmt. Þessi ósamkvæmni er erfiðari að styðja en hrein bilun, því hún fer eftir tímasetningu. Notandi sem tengist aftur á röngu augnabliki fær aðra upplifun en sá sem gerir það ekki.

Þess vegna er kunnuglegt IP-netfang ekki sönnun um auðkenni. Hafðu vottorðs- og þjónanafnsstaðfestingu fyrir raunverulegan áfangastað, því tölulega netfangið sem þú náðir fyrir fimm mínútum getur nú tilheyrt annarri samræðu.

Berðu safnið saman við hvert net sem þú þekkir

RFC 1918 tekur frá þrjá blokka til einkanota: 192.168.0.0/16, 172.16.0.0/12 og 10.0.0.0/8. Milljónir aðskildra samtaka nota þá aftur, svo einkarekið er fullyrðing um úthlutun og aldrei loforð um að enginn annar hafi valið sömu tölur.

Berðu safnið sem til greina kemur saman við skrifstofu-LAN, skýja-VPC, önnur VPN-söfn, tengla félaga og þau svið sem fjarstarfsmenn eiga líklega heima. Heimilisatriðið er ekki ástæða til að finna upp skrýtið forskeyti; það er ástæða til að halda safninu litlu og skjalfestu.

Samræmdu úthlutunina við þann sem á leiðarstýringuna og skráðu pínulitlu leiðina á sama stað. Safn sem enginn getur beint leið aftur til er safn sem verður enduruppgötvað í bilun. Settu safnið í sama skjal og svæði staðanna, ekki í biðlarastillingu sem aðeins ein manneskja hefur breytt. Skjalið er það sem gerir næstu árekstur forðanlegan.

Hvenær opinber netföng eru rétta svarið

Samtök með rétt úthlutað alheimsrými geta vel byggt VPN-safn með opinberum netföngum, og sum gera það viljandi til að forðast þýðingu. Sú hönnun þarf samt leiðarstýringu, upprunastaðfestingu, aðgangsreglur og biðlarasannvottun; úthlutunin veitir ekkert af því.

Það sem hún veitir er einstakt, eiginleikinn sem lánaða forskeytið hefur ekki. Ef þú átt blokkina bendir leiðin sem biðlarinn þinn setur upp á netföng sem eru sannarlega þín, og merkingin breytist ekki þegar göngin falla.

Bættu ekki NAT við sjálfkrafa til að vega upp á móti safnvali. Leiðarstýrð einkahönnun með skýrum afturleiðum er hreinna en þýðing sem beitt er af því að netfangaskipan var aldrei skipulögð, og IPv6 þarf sína eigin viljandi áætlun í stað afrits af forsendum IPv4.

Láttu slæmt safn hætta án að missa aðgang

Ef safnið er þegar í notkun skaltu taka lista áður en þú breytir því: netfangabókanir, uppsettar leiðir, DNS-færslur sem leysast inn í blokkina, eldveggssvið og forritin sem byggja á þeim. Skiptu síðan breytingunni niður með sama kostgæfni og hverri annarri leiðarskiptingu. Tilkynntu það fólkinu sem tekur eftir því, því loturnar þeirra munu falla þegar safnið flyst. Hljóðlát breyting á netfangaskipan biðlara framleiðir stuðningsmiða sem virðast ótengdir vinnunni.

Varðveittu endurheimtarleið sem er ekki háð safninu sem þú ert að fjarlægja, því augnablikið sem þú dregur það til baka er augnablikið sem fjaraðgangur þinn gæti horfið með því. Staðfestu síðan báðar áttir: fyrirhugaðir einkastaðir virka enn, og internetstaðirnir sem áður voru gripnir leysast nú til raunverulegra eigenda sinna.

Það sem þú vilt er safn sem netteymið getur úthlutað, beint og látið hætta sem eina samfellda heild. Netfangasnið eitt og sér byggir hvorki öryggi né tengingu.