Hvaða vistfang á að setja í DNS fyrir þjón sem er tengdur í gegnum VPN?

Hýstur þjónn með uppsettu VPN endar með þrjú vistföng, og aðeins eitt þeirra á heima á hverjum þeim stað sem þú ert að fara að stilla. Að afrita númerið úr stjórnborði þjónustuveitanda inn í DNS, inn í hlustanda eða inn í leyfislista er leiðin sem virk göng verða að þjónustu sem enginn nær í. Þessi vinnubók raðar verkinu þannig að hvert vistfang er valið fyrir tilgreindan tilgang. Hún listar líka skipanirnar sem staðfesta það sem þú birtir í raun.

Kortleggðu vistföngin þrjú áður en þú birtir nokkuð

Nefndu þau eftir hlutverki. Undirlagsvistfangið er það sem vélin notar til að ná VPN-endapunktinum yfir internetið, og það er oft einkaaðgangs bak við NAT þjónustuveitandans. Gönguvistfangið lifir inni í VPN-inu og er úthlutað af þjóninum eða biðlarannum eftir vöru. Opinberi útgangurinn er vistfangið sem utanaðkomandi vefsíða skráir eftir yfirfærsluna, og það þarf ekki að vera til á neinu viðmóti sem þú getur spurt út.

Stjórnborð sem sýnir eitt opinbert vistfang fyrir vél segir þér mjög lítið um hlutverkin tvö hin. Náanlegt undirlag er krafa, ekki kaup: fartölva bak við heimanet getur náð í hýstan VPN-endapunkt án þess að eiga opinbert IPv4-vistfang. Það sem þú getur ekki er að búa til inngönguleið með því að skrifa nafn sem leysist í vistfang sem enginn framsendir.

Veldu vistfangið eftir þjónustunni, ekki eftir merkinu

Skrifaðu niður hvað þjóninum ber að gera áður en þú velur númer. Útleiðandi API-köll þurfa stöðugan útgang þegar mótaðilinn heldur leyfislista. Einkaaðgangur þarf gönguvistfang sem biðlarar geta beitt leiðarvali að og hlustanda sem er bundinn við það. Opinber hýsing þarf inngönguvörpun sem þjónustuveitandinn býður í raun, og útgangsvistfangið eitt útvegar það ekki.

Ein vélin getur þjónað öllum þremur tilganginum og notað samt þrjú mismunandi vistföng. Það sem brestur er forsendan um að eitt gildi nái yfir þau öll:

Inngöngulínan er sú sem menn deila um. Færsla sem bendir á útgangsvistfangið býr til engan hlustanda, enga eldveggsopnun og enga portavörpun, og að bíða breytir því ekki. Þegar þjónustuveitandinn selur sérvistfang ásamt inngöngureglu er sú heild sú geta sem þú keyptir; vistfangið eitt sér er ekki rétturinn.

Skipanir sem sýna hvaða vistfang er hvað

Lestu vélina, ekki stjórnborðið. Viðmótsnöfn eru mismunandi milli kerfa, svo tengdu vistföng við tæki í stað þess að treysta merki.

Fyrsta línan listar hvert IPv4-vistfang og tækið þess, og önnur spyr kjarnann hvaða tæki hann myndi nota fyrir þekktan áfangastað utan við:

ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'

Ef leiðarleitin svarar með göngutæki fyrir opinberan umferð er fullu göngin virk. Hlustandaprófið skiptir jafn miklu, því ferli sem er aðeins bundið við 127.0.0.1 mun aldrei svara á gönguvistfanginu, sama hvaða nafn þú birtir.

Birtu það og staðfestu svo utan frá

Birtu gildið sem þjónustan þarf og ekkert meira: A- eða AAAA-færslu fyrir hýsingu, færslu í leyfislista fyrir útleiðandi köll, biðlarasnið fyrir einkaaðgang. Prófaðu svo frá þeirri stöðu sem skiptir máli, og það er aldrei vélin sem þú varst að breyta.

Tvö próf ná yfir mest af þessu, og bæði eru nógu ódýr til að halda í skriftu:

dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/health

DNS-svar sem sannar að færslan þín sé til er ekki sönnun þess að beiðni komist á leiðarenda, og ein vel heppnuð beiðni sannar aðeins að ein leið virki frá einu neti. Endurtaktu prófið í gegnum farsímatengingu þegar leyfislisti kemur við sögu, því útgangurinn sem þú sérð getur ráðist af vistfangafjölskyldunni og leiðinni sem valin var. Skrifaðu niður hvaða fjölskyldu þú staðfestir; virk IPv4-leið segir alls ekkert um IPv6.

Ef þjónustan er inngöngu, dugar útgangsvistfangið ekki

Inngönguaðgangur þarf fjóra hluti á einn streng: nafn eða vistfang sem biðlari nær í, leið sem kemur pakkanum til vélarinnar, hlustanda sem tekur við honum og stefnu sem sleppir honum ekki. VPN breytir öðru atriðinu og stundum því fyrsta, og það gerir ekkert fyrir þriðja og fjórða. Þegar göngin eru afhendingarleiðin tengjast biðlarar gönguvistfanginu, ekki útganginum.

Skráðu hvaða vistfang hver þjónusta er háð, og farðu yfir skráninguna þegar þjónustuveitandinn breytir leiðarvali sínu. Þjónn sem svarar einkaaðgangs og bregst opinberlega er yfirleitt ekki bilaður; hann svarar undir röngu auðkenni, og viðgerðin er ákvörðun um vörpun en ekki eldveggsbreyting.