E ëffentleche Prefix fir VPN-Clienten: wat en tatsächlech brécht

En Clientpool, dee gewielt gouf, well d'Zuelen uerdentlech ausgesinn, ass eng Route, déi op hir Installatioun waart. De Prefix muss net privat sinn, fir datt de VPN funktionéiert, an d'Benotze vun engem Block, deen engem aneren gehéiert, setzt Är Benotzer och net automatesch dem Internet aus. Wat en mécht, ass datt dës Adressen eppes aneres bedeiten, soulaang den Tunnel uewen ass, an duerno nach eppes aneres, wann en fällt. Gitt déi fënnef Kontrollen hei drënner an der Rei duerch a stoppt do, wou d'Äntwert „soss wou zougewisen“ ass.

Zouweisung ass keng Ukënnegung

Eng Adress op eng Tunnelinterfac ze setzen, kënnegt se net um Internet un. Ëffentlech Erreechbarkeet brauch eng Route, en autoriséierte Wee an en Ubidder, dee gewëllt ass, se ze droen, an et geschitt keng dovun, well e Client d'Adress aus engem Pool kritt huet. Firewall-Politik an Host-Autorisatioun sinn erëm getrennt Entscheidungen.

Dofir ass de Risiko net dat, wat déi meescht Leit unhuelen. Den ausgelounten Prefix mécht Är Clienten net erreechbar; en mécht d'Ziler vun engem aneren aus Äre Clienten onerreechbar, wat en aneren Defekt mat engem aneren Eegentümer ass. Et gëtt keen ugegraff an et entkënnt keng Ukënnegung. E Benotzer kann einfach eng Säit net opmaachen, déi gëschter funktionéiert huet, an dem Helpdesk feelt et u Grënn, de VPN-Pool ze verdächtegen.

Den Ënnerscheed ass wichteg, wann Dir e Pool auswielt. Wann Är eenzeg Suerg d'Expositioun zum Internet wier, géing e ëffentleche Block sécher ausgesinn, well en näischt ukënnegt. D'Suerg ass déi lokal Route, déi de Client fir dee Prefix installéiert, an déi Route gëtt installéiert, egal ob een aneren se gesinn kann oder net.

Wat d'Clientroute tatsächlech hält

Wann den Tunnel eropkënnt, kritt de Client eng Route fir de Prefix vum Pool, an déi Route gewënnt d'Standardroute fir all Zil doranner. Eng Ufro un en legitimen Host an deem Block geet elo un de VPN amplaz vum Internet. Ob se feelt, hänkt oder op de falsche Server kënnt, hänkt dovun of, wat Är Säit domat mécht.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Fuert d'Recherche mat uewen opgestalltem Tunnel aus an nach eng Kéier mat him ënnen. D'Adress bedeit eng Saach am éischten Fall an eng ganz aner am zweete, an all Uwendung, déi eng Verbindung oder eng Nummopléisung iwwer deen Iwwergank gecacht huet, wäert sech inkonsistent behuelen. Dës Inkonsistenz ass méi schwéier z'ënnerstëtzen wéi e propperen Defekt, well se vum Timing ofhängt. E Benotzer, deen am falschen Ament nei verbënnt, kritt eng aner Erfarung wéi een, deen dat net mécht.

Dofir ass och eng gewinnt IP-Adress kee Beweis vun Identitéit. Behaalt d'Zertifikats- an de Servernumm-Validéierung fir dat richtegt Zil, well déi numeresch Adress, déi Dir viru fënnef Minute erreecht hutt, elo zu engem aneren Dialog gehéiere kann.

Vergläicht de Pool mat all Netzwierk, dat Dir kennt

RFC 1918 reservéiert dräi Bléck fir privat Notzung: 192.168.0.0/16, 172.16.0.0/12 an 10.0.0.0/8. Millioune getrennte Organisatiounen notzen se nach eng Kéier, also ass privat eng Ausso iwwer d'Zouweisung an ni e Verspriechen, datt keen aneren déi selwecht Zuelen gewielt huet.

Vergläicht de Kandidat-Pool mat Büro-LANs, Cloud-VPCs, aneren VPN-Pools, Partnerverbindungen an de Beräicher, déi Fernaarbechter doheem wahrscheinlech hunn. Den Heemfall ass kee Grond, en oriiginelle Prefix zu erfinden; en ass e Grond, de Pool kleng an dokumentéiert ze halen.

Koordinéiert d'Zouweisung mat deem, deen d'Routing besëtzt, a maacht de Réckwee op der selwechter Plaz fest. En Pool, op deen keen zréckroute kann, ass e Pool, deen während engem Ausfall erëm entdeckt gëtt. Setzt de Pool an datselwecht Dokument wéi d'Site-Beräicher, net an eng Client-Konfiguratioun, déi nëmmen eng Persoun geännert huet. D'Dokument ass et, wat déi nächst Kollisioun vermeidbar mécht.

Wéini ëffentlech Adresséierung déi richteg Äntwert ass

Organisatiounen mat korrekt zougewisene globale Raum kënnen duerchaus e VPN-Pool mat ëffentlechen Adressen opbauen, an e puer maachen dat bewosst, fir d'Iwwersetzung ze vermeiden. Dësen Design brauch weiderhin Routing, Quellvalidéierung, Zougrëffsregele wéi och Client-Authentifizéierung; d'Zouweisung liwwert keng dovun.

Wat se liwwert, ass Eenzegaartegkeet, d'Eegeschaft, déi dem ausgelounten Prefix feelt. Wann Dir de Block hutt, weist d'Route, déi Äre Client installéiert, op Adressen, déi wierklech Är sinn, an d'Bedeitung ännert sech net, wann den Tunnel fällt.

Füügt NAT net automatesch bäi, fir eng Pool-Wiel auszegläichen. En gerouteten private Design mat explizite Réckween ass méi propper wéi eng Iwwersetzung, déi ugewannt gëtt, well d'Adresséierung ni geplangt war, an IPv6 brauch säin eegene bewosste Plang amplaz enger Kopie vun den IPv4-Annahmen.

Zitt e schlechten Pool aus dem Betrib ouni den Zougrëff ze verléieren

Wann de Pool schonn agesat ass, maacht en Inventar, ier Dir en ännert: Adressreservatiounen, installéiert Routen, DNS-Andräg, déi an de Block opléisen, Firewall-Beräicher an d'Uwendungen, déi dovun ofhänken. Duerno plangt d'Ännerung mat deemselwechte Suergfalt wéi all aneren Routing-Iwwergank. Kënnegt se de Leit un, déi et bemierken, well hir Sessioune fale wäerte, wann de Pool sech réckelt. Eng stille Ännerung vun der Client-Adresséierung generéiert Support-Ticketen, déi onofhängeg vun der Aarbecht ausgesinn.

Behaalt e Recuperatiounswee, deen net vum Pool ofhängt, deen Dir ewech hëlt, well de Moment, an deem Dir en zréckzitt, ass de Moment, an deem Ären Fernzougrëff domat verschwanne kann. Validéiert duerno béid Richtungen: déi virgesinn privat Ziler funktionéieren nach, an déi Internetziler, déi fréier gefaangen goufen, opléisen elo op hir richteg Eegentümer.

Wat Dir wëllt, ass e Pool, deen den Netzwierkteam als eng kohärent Saach kann zouweisen, routeieren an aus dem Betrib zéien. En Adressformat eleng begrënnt weder Sécherheet nach Konnektivitéit.