საჯარო პრეფიქსი VPN კლიენტებისთვის: რას ამტვრევს ის რეალურად

კლიენტთა აუზი, რომელიც არჩეულია იმიტომ, რომ რიცხვები მოწესრიგებულად გამოიყურება, არის მარშრუტი, რომელიც ინსტალაციას ელოდება. პრეფიქსი არ უნდა იყოს კერძო იმისთვის, რომ VPN იმუშაოს, და სხვისი ბლოკის გამოყენება ასევე ავტომატურად არ ამჟღავნებს თქვენს მომხმარებლებს ინტერნეტში. რასაც ის აკეთებს, არის ის, რომ ეს მისამართები ნიშნავს სხვა რამეს მანამ, სანამ გვირაბი ზემოთ არის, და შემდეგ ისევ სხვა რამეს, როცა ის ვარდება. გაიარეთ ქვემოთ მოცემული ხუთი შემოწმება თანმიმდევრობით და გაჩერდით იქ, სადაც პასუხია «სხვაგან მინიჭებულია».

მინიჭება განცხადება არ არის

მისამართის გვირაბის ინტერფეისზე დადება არ აცხადებს მას ინტერნეტში. საჯარო ხელმისაწვდომობას სჭირდება მარშრუტი, ნებადართული გზა და მომწოდებელი, რომელიც მზადაა მისი ტარებისთვის, და არც ერთი მათგანი არ ჩნდება იმიტომ, რომ კლიენტმა მისამართი აუზიდან მიიღო. Firewall-ის პოლიტიკა და ჰოსტის ავტორიზაცია ისევ ცალკე გადაწყვეტილებებია.

ამიტომ რისკი არ არის ის, რასაც უმეტესობა ვარაუდობს. ნასესხები პრეფიქსი არ ხდის თქვენს კლიენტებს ხელმისაწვდომს; ის სხვის დანიშნულებებს ხდის მიუწვდომელს თქვენი კლიენტებიდან, რაც სხვა მფლობელის სხვა გაუმართაობაა. არავის ესხმიან თავს და არც ერთი განცხადება არ გადის. მომხმარებელი უბრალოდ ვერ ხსნის საიტს, რომელიც გუშინ მუშაობდა, და მხარდაჭერის სამსახურს არ აქვს მიზეზი VPN-ის აუზის ეჭვისთვის.

ეს განსხვავება მნიშვნელოვანია აუზის არჩევისას. თუ თქვენი ერთადერთი შეშფოთება ინტერნეტში გამოჩენა იქნებოდა, საჯარო ბლოკი უსაფრთხოდ გამოიყურებოდა, რადგან არაფერი აცხადებს მას. შეშფოთება არის ლოკალური მარშრუტი, რომელსაც კლიენტი ამ პრეფიქსისთვის აყენებს, და ეს მარშრუტი მაინც დაყენდება, ხედავს თუ არა მას სხვა.

რას იჭერს რეალურად კლიენტის მარშრუტი

როცა გვირაბი ადის, კლიენტი იღებს მარშრუტს აუზის პრეფიქსისთვის, და ეს მარშრუტი იმარჯვებს ნაგულისხმევ მარშრუტზე მის შიგნით არსებული ყოველი დანიშნულებისთვის. იმ ბლოკში ლეგიტიმურ ჰოსტზე მოთხოვნა ახლა ინტერნეტის ნაცვლად VPN-ზე მიდის. ჩავარდება თუ არა, გაიჭედება თუ არასწორ სერვერზე მოხვდება, დამოკიდებულია იმაზე, რას აკეთებს თქვენი მხარე ამით.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

გაუშვით ძიება გვირაბის აწეული მდგომარეობით და ისევ ჩამოშვებულით. მისამართი ნიშნავს ერთ რამეს პირველ შემთხვევაში და სრულიად სხვას მეორეში, და ნებისმიერი აპლიკაცია, რომელმაც დააქეშა კავშირი ან სახელის გადაწყვეტა ამ გადასვლის განმავლობაში, არათანმიმდევრულად მოიქცევა. ამ არათანმიმდევრულობის მხარდაჭერა უფრო რთულია, ვიდრე სუფთა ჩავარდნისა, რადგან ის დროზეა დამოკიდებული. მომხმარებელი, რომელიც არასწორ მომენტში ხელახლა უკავშირდება, სხვა გამოცდილებას იღებს, ვიდრე ის, ვინც ამას არ აკეთებს.

ამიტომაც ნაცნობი IP მისამართი იდენტობის დამტკიცება არ არის. შეინარჩუნეთ სერტიფიკატის და სერვერის სახელის ვალიდაცია რეალური დანიშნულებისთვის, რადგან რიცხვითი მისამართი, რომელსაც ხუთი წუთის წინ მიაღწიეთ, ახლა შეიძლება სხვა საუბარს ეკუთვნოდეს.

შეადარეთ აუზი ყველა იმ ქსელს, რომელსაც იცნობთ

RFC 1918 გამოყოფს სამ ბლოკს კერძო გამოყენებისთვის: 192.168.0.0/16, 172.16.0.0/12 და 10.0.0.0/8. მილიონობით ცალკეული ორგანიზაცია ხელახლა იყენებს მათ, ამიტომ «კერძო» განაწილების შესახებ განცხადებაა და არასდროს დაპირება, რომ სხვამ იგივე რიცხვები არ აირჩია.

შეადარეთ კანდიდატი აუზი ოფისის LAN-ებს, ღრუბლოვან VPC-ებს, სხვა VPN აუზებს, პარტნიორულ კავშირებს და იმ დიაპაზონებს, რომლებიც დისტანციურ თანამშრომლებს სახლში შეიძლება ჰქონდეთ. სახლის შემთხვევა უცნაური პრეფიქსის გამოგონების მიზეზი არ არის; ეს აუზის პატარად და დოკუმენტირებულად შენარჩუნების მიზეზია.

შეათანხმეთ განაწილება მასთან, ვისაც მარშრუტიზაცია ეკუთვნის, და დააფიქსირეთ დაბრუნების გზა იმავე ადგილას. აუზი, რომელზეც ვერავინ ვერ მოახდენს უკან მარშრუტიზაციას, არის აუზი, რომელიც შეფერხების დროს ხელახლა აღმოჩენილ იქნება. მოათავსეთ აუზი იმავე დოკუმენტში, სადაც საიტების დიაპაზონებია, და არა კლიენტის კონფიგურაციაში, რომელიც მხოლოდ ერთმა ადამიანმა შეცვალა. სწორედ დოკუმენტი ხდის შემდეგ შეჯახებას თავიდან აცილებადს.

როდის არის საჯარო მისამართება სწორი პასუხი

ორგანიზაციებს, რომლებსაც სათანადოდ მინიჭებული გლობალური სივრცე აქვთ, შეუძლიათ ააშენონ საჯარო მისამართებიანი VPN აუზი, და ზოგი ამას განზრახ აკეთებს ტრანსლაციის თავიდან ასაცილებლად. ეს დიზაინი მაინც საჭიროებს მარშრუტიზაციას, წყაროს ვალიდაციას, წვდომის წესებს და კლიენტის ავთენტიფიკაციას; განაწილება არც ერთს არ იძლევა.

რასაც ის იძლევა, არის უნიკალობა, თვისება, რომელიც ნასესხებ პრეფიქსს აკლია. თუ ბლოკი თქვენ გაქვთ, თქვენი კლიენტის მიერ დაყენებული მარშრუტი მიუთითებს მისამართებზე, რომლებიც ნამდვილად თქვენია, და მნიშვნელობა არ იცვლება, როცა გვირაბი ვარდება.

ნუ დაამატებთ NAT-ს ავტომატურად აუზის არჩევანის კომპენსაციისთვის. მარშრუტიზებული კერძო დიზაინი ცხადი დაბრუნების მარშრუტებით უფრო სუფთაა, ვიდრე ტრანსლაცია, რომელიც გამოიყენება იმიტომ, რომ მისამართები არასდროს დაგეგმილა, და IPv6-ს სჭირდება საკუთარი განზრახ გეგმა და არა IPv4-ის ვარაუდების ასლი.

გააუქმეთ ცუდი აუზი წვდომის დაკარგვის გარეშე

თუ აუზი უკვე განლაგებულია, სანამ შეცვლით, ჩაატარეთ ინვენტარიზაცია: მისამართების დაჯავშნები, დაყენებული მარშრუტები, DNS ჩანაწერები, რომლებიც ბლოკში წყდება, firewall-ის არეები და მათზე დამოკიდებული აპლიკაციები. შემდეგ დაგეგმეთ ცვლილება ისეთივე ზრუნვით, როგორც ნებისმიერი სხვა მარშრუტიზაციის გადასვლა. აცნობეთ მათ, ვინც შეამჩნევს, რადგან მათი სესიები ჩავარდება, როცა აუზი გადაადგილდება. კლიენტების მისამართების ჩუმი ცვლილება წარმოქმნის მხარდაჭერის ბილეთებს, რომლებიც სამუშაოსთან უკავშირო ჩანს.

შეინარჩუნეთ აღდგენის გზა, რომელიც არ არის დამოკიდებული იმ აუზზე, რომელსაც აშორებთ, რადგან მისი გაუქმების მომენტი არის ის მომენტი, როცა თქვენი დისტანციური წვდომა შეიძლება მასთან ერთად გაქრეს. შემდეგ გადაამოწმეთ ორივე მიმართულება: განზრახული კერძო დანიშნულებები ჯერ კიდევ მუშაობს, და ადრე დაჭერილი ინტერნეტ დანიშნულებები ახლა თავიანთ ნამდვილ მფლობელებზე წყდება.

რაც გსურთ, არის აუზი, რომლის მინიჭება, მარშრუტიზაცია და გაუქმება ქსელის გუნდს ერთი თანმიმდევრული ნივთის სახით შეუძლია. მისამართის ფორმატი თავისთავად არ ამყარებს არც უსაფრთხოებას და არც კავშირს.