Wéi eng Adress gehéiert an den DNS fir e Server, deen iwwer VPN verbonne ass?

En gehostete Server mat engem installéierte VPN huet um Enn dräi Adressen, an nëmmen eng dovun gehéiert op all Plaz, déi du just wëlls konfiguréieren. D'Zuel aus engem Provider-Panel an den DNS, an e Listener oder an eng Allowlist ze kopéieren ass de Wee, op deem aus engem funktionéierenden Tunnel e Service gëtt, deen keen erreeche kann. Dëse Runbook ordnet d'Aarbecht esou, datt all Adress fir en erkläerten Zweck gewielt gëtt. En zielt och d'Befehler op, déi bestätegen, wat du tatsächlech publizéiert hues.

Kartéier déi dräi Adressen, ier s du eppes publizéiers

Benenn se no hirer Funktioun. D'Underlay-Adress ass dat, wat d'Maschinn benotzt, fir den VPN-Endpunkt iwwer d'Internet z'erreechen, an se ass dacks privat hannert dem NAT vum Provider. D'Tunneladress lieft am VPN, vergi vum Server oder vum Client jee no Produkt. Déi ëffentlech Ausgang ass d'Adress, déi eng extern Websäit no der Iwwersetzung loggt, an se muss op kengem Interface existéieren, dee s du ofroe kanns.

E Panel, deen eng ëffentlech Adress fir eng Maschinn weist, seet dir ganz wéineg iwwer déi aner zwou Rollen. Underlay-Erreechbarkeet ass eng Fuerderung, keen Aankaf: e Laptop hannert engem Heemrouter kann en gehosteten VPN-Endpunkt erreechen, ouni eng ëffentlech IPv4-Adress ze besëtzen. Wat s du net kanns, ass en agaangene Wee ze erféieren, andeems s du en Numm schreifs, dee sech op eng Adress opléist, déi keen weiderleet.

Wiel d'Adress no dem Service, net no dem Etikett

Schreif op, wat de Server maache muss, ier s du eng Zuel wiels. Ausgäng API-Aufruff brauchen en stabile Ausgang, wann déi aner Säit eng Allowlist féiert. Privaten Zougank brauch eng Tunneladress, op déi Clienten route kënnen, an e Listener, deen dorun gebonnen ass. Ëffentlecht Hosting brauch eng agaangene Mapping, déi de Provider wierklech ubitt, an déi liwwert d'Ausgangsadress eleng net.

Eng eenzeg Maschinn kann all dräi Zwecker déngen an nach ëmmer dräi verschidden Adressen benotzen. Wat briecht, ass d'Annam, datt een Wäert se alleguer deckt:

D'agaangen Zeil ass déi, iwwer déi d'Leit diskutéieren. Eng Fiche, déi op d'Ausgangsadress weist, schaaft keen Listener, keng Firewall-Öffnung a keng Port-Mapping, an op sech warden ännert dat net. Wann de Provider eng dedizéiert Adress zesumme mat enger agaangener Regel verkeeft, ass dës Bündel d'Kapazitéit, déi s du kaaft hues; d'Adress eleng ass net den Usproch.

Befehler, déi weisen, wéi eng Adress wéi eng ass

Lies d'Maschinn, net de Panel. Interface-Nimm ënnerscheede sech tëschent Systemer, also associéier d'Adressen mat den Apparater, amplaz engem Etikett ze vertrauen.

Déi éischt Linn zielt all IPv4-Adress an hiren Apparat op, an déi zweet freet de Kernel, wéi een Apparat en fir en bekannten Zil dobausse géif benotzen:

ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'

Wann d'Routabfro fir ëffentlechen Trafic mat engem Tunnelapparat äntwert, ass däin vollsten Tunnel a Kraaft. D'Listenerpréifung ass genee esou wichteg, well e Prozess, deen nëmmen un 127.0.0.1 gebonnen ass, ni op der Tunneladress äntwerten, egal wéi en Numm s du publizéiers.

Publizéier se, an da préif vu baussen

Publizéier de Wäert, deen de Service brauch, an näischt méi: eng A- oder AAAA-Fiche fir Hosting, en Allowlist-Antrag fir ausgäng Aufruff, e Clientprofil fir privaten Zougank. Test dann vun der Positioun, op déi et ukënnt, an dat ass ni d'Maschinn, déi s du just geännert hues.

Zwou Préifunge decke meeschtens alles of, an alleb zwee si bëlleg genuch, fir se an engem Skript ze halen:

dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/health

Eng DNS-Antwert, déi beweise kann, datt däi Fiche existéiert, ass kee Beweis, datt eng Ufro ukënnt, an eng erfollegräich Ufro beweise just, datt ee Wee vun engem Netz aus funktionéiert. Widderhuel d'Préifung iwwer eng mobil Verbindung, wann eng Allowlist am Spill ass, well den Ausgang, deen s du observéiers, vun der Adressfamill an der gehollener Route ofhänge kann. Nottéier, wéi eng Famill s du verifizéiert hues; e funktionéierende IPv4-Wee seet iwwerhaapt näischt iwwer IPv6.

Wann de Service agaang ass, geet d'Ausgangsadress net duer

Agaangene Zougank brauch véier Saachen an enger Rei: en Numm oder eng Adress, déi e Client erreeche kann, eng Route, déi de Paket op d'Maschinn bréngt, en Listener, deen en unhëlt, an eng Politik, déi en net fale léisst. En VPN ännert dat zweet Element an heiansdo dat éischt, an et mécht näischt fir dat drëtt a véiert. Wann den Tunnel de Liwwerwee ass, verbinne Clienten sech mat der Tunneladress, net mam Ausgang.

Halt fest, vun wéi enger Adress all Service ofhänkt, a kuck dës Notiz erëm un, wann de Provider säi Routingmodell ännert. E Server, deen privat äntwert a ëffentlech feelt, ass meeschtens net futti; en äntwert ënner der falscher Identitéit, an d'Reparatur ass eng Mapping-Entscheedung an net eng Firewall-Ännerung.