VPN клиенттері үшін жария префикс: ол шын мәнінде нені бұзады

Сандар ұқыпты көрінгендіктен таңдалған клиент пулы — орнатуды күтіп тұрған маршрут. VPN жұмыс істеуі үшін префикс жеке болуы міндетті емес, және басқаға тиесілі блокты пайдалану да пайдаланушыларыңызды интернетке автоматты түрде әшкерелемейді. Ол не істейді десе, туннель көтерілген кезде бұл мекенжайлар басқа мағына береді, ал туннель құлағанда қайтадан басқа мағына береді. Төмендегі бес тексеруді ретімен орындаңыз және жауап «басқа жерде бөлінген» деген жерде тоқтаңыз.

Бөлу — жариялау емес

Мекенжайды туннель интерфейсіне қою оны интернетке жарияламайды. Жария қолжетімділік үшін маршрут, рұқсат етілген жол және оны тасымалдауға дайын провайдер қажет, және клиент мекенжайды пулдан алғандықтан олардың ешқайсысы пайда болмайды. Firewall саясаты мен хост авторизациясы қайтадан бөлек шешімдер.

Сондықтан тәуекел көпшілік ойлайтындай емес. Қарызға алынған префикс клиенттеріңізді қолжетімді етпейді; ол біреудің барар жерлерін сіздің клиенттеріңізден қолжетімсіз етеді, бұл басқа иесі бар басқа ақау. Ешкімге шабуыл жасалмайды және ешбір жариялау сыртқа шықпайды. Пайдаланушы жай ғана кеше жұмыс істеген сайтты аша алмайды, ал қолдау қызметінің VPN пулынан күдіктенуге ешбір себебі жоқ.

Пул таңдағанда бұл айырмашылық маңызды. Егер жалғыз алаңыңыз интернетке әшкерелену болса, жария блок қауіпсіз болып көрінер еді, өйткені оны ешнәрсе жарияламайды. Алаң — клиенттің сол префикс үшін орнататын жергілікті маршруты, және ол маршрут басқа біреу оны көре ме, жоқ па, соған қарамастан орнатылады.

Клиент маршруты шын мәнінде нені ұстап алады

Туннель көтерілгенде клиент пул префиксіне маршрут алады, және бұл маршрут оның ішіндегі әрбір барар жер үшін әдепкі маршруттан басым түседі. Сол блоктағы заңды хостқа сұрау енді интернетке емес, VPN-ге кетеді. Ол сәтсіз бола ма, ілініп қала ма әлде дұрыс емес серверге жетеді ме — бұл сіздің жағыңыздың онымен не істейтініне байланысты.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Іздеуді туннель көтерілген күйде, содан кейін түсірілген күйде қайта орындаңыз. Мекенжай бірінші жағдайда бір нәрсені білдіреді, екіншісінде мүлдем басқа нәрсені, және осы ауысу барысында қосылымды немесе атауды шешуді кэштеген кез келген қолданба тұрақсыз әрекет етеді. Бұл тұрақсыздықты таза ақауға қарағанда қолдау қиын, өйткені ол уақытқа байланысты. Дұрыс емес сәтте қайта қосылған пайдаланушы олай жасамағанға қарағанда басқа тәжірибе алады.

Сондықтан таныс IP мекенжайы да жеке бастың дәлелі емес. Нақты барар жер үшін сертификат пен сервер атауын тексеруді сақтаңыз, өйткені бес минут бұрын жеткен сандық мекенжай енді басқа әңгімеге тиесілі болуы мүмкін.

Пулды өзіңіз білетін әрбір желімен салыстырыңыз

RFC 1918 жеке пайдалану үшін үш блок бөледі: 192.168.0.0/16, 172.16.0.0/12 және 10.0.0.0/8. Миллиондаған жеке ұйымдар оларды қайта пайдаланады, сондықтан «жеке» бөлу туралы мәлімдеме және ешқашан басқа ешкім бірдей сандарды таңдамады деген уәде емес.

Кандидат пулды кеңсе LAN желілерімен, бұлттық VPC-лермен, басқа VPN пулдарымен, серіктес байланыстарымен және қашықтан жұмыс істейтіндердің үйде болуы ықтимал диапазондарымен салыстырыңыз. Үй жағдайы оғаш префикс ойлап табуға себеп емес; ол пулды шағын және құжатталған ұстауға себеп.

Бөлуді маршруттауға ие адаммен үйлестіріңіз және қайту жолын сол жерде жазып қойыңыз. Ешкім кері маршруттай алмайтын пул — іркіліс кезінде қайта табылатын пул. Пулды сайт диапазондарымен бір құжатқа қойыңыз, тек бір адам өңдеген клиент конфигурациясына емес. Құжат — келесі қақтығысты болдырмайтын нәрсе.

Жария адрестеу қашан дұрыс жауап

Дұрыс бөлінген ғаламдық кеңістігі бар ұйымдар жария мекенжайлы VPN пулын сала алады, және кейбіреулері трансляциядан құтылу үшін мұны әдейі жасайды. Бұл дизайн әлі де маршруттауды, көзді тексеруді, кіру ережелерін және клиентті аутентификациялауды қажет етеді; бөлу олардың ешқайсысын бермейді.

Ол беретін нәрсе — бірегейлік, қарызға алынған префиксте жоқ қасиет. Егер блок сізде болса, клиентіңіз орнататын маршрут шынымен өзіңізге тиесілі мекенжайларды нұсқайды, және туннель құлағанда мағына өзгермейді.

Пул таңдауын өтеу үшін NAT-ты автоматты түрде қоспаңыз. Айқын қайту маршруттары бар маршрутталған жеке дизайн, адрестеу ешқашан жоспарланбағандықтан қолданылатын трансляциядан тазарақ, ал IPv6-ға IPv4 болжамдарының көшірмесі емес, өзінің әдейі жоспары қажет.

Нашар пулды қолжетімділікті жоғалтпай тоқтатыңыз

Егер пул әлдеқашан орналастырылған болса, оны өзгертер алдында түгендеу жүргізіңіз: мекенжай резервтері, орнатылған маршруттар, блокқа шешілетін DNS жазбалары, firewall аумақтары және оларға тәуелді қолданбалар. Содан кейін өзгерісті кез келген басқа маршруттау ауысуы сияқты ұқыптылықпен жоспарлаңыз. Оны байқайтын адамдарға хабарлаңыз, өйткені пул жылжығанда олардың сессиялары үзіледі. Клиент адрестеуіндегі үнсіз өзгеріс жұмысқа қатысы жоқ болып көрінетін қолдау билеттерін тудырады.

Сіз жоятын пулға тәуелді емес қалпына келтіру жолын сақтаңыз, өйткені оны кері қайтаратын сәт — қашықтан қол жеткізуіңіз онымен бірге жоғалуы мүмкін сәт. Содан кейін екі бағытты да тексеріңіз: көзделген жеке барар жерлер әлі жұмыс істейді, ал бұрын ұсталған интернет барар жерлері енді нақты иелеріне шешіледі.

Сіз қалайтын нәрсе — желілік топ біртұтас нәрсе ретінде бөле, маршруттай және тоқтата алатын пул. Мекенжай форматы өздігінен қауіпсіздікті де, байланысты да орнатпайды.