Viešasis prefiksas VPN klientams: ką jis iš tikrųjų sugriauna

Klientų telkinys, pasirinktas todėl, kad skaičiai atrodo tvarkingi, yra maršrutas, laukiantis įdiegimo. Prefiksas neturi būti privatus, kad VPN veiktų, o kito asmens bloko naudojimas taip pat automatiškai neatskleidžia jūsų vartotojų internetui. Jis daro tai, kad šie adresai reiškia ką kita, kol tunelis pakeltas, o paskui vėl ką kita, kai jis nukrenta. Atlikite penkis patikrinimus žemiau iš eilės ir sustokite ten, kur atsakymas yra „priskirta kitur“.

Priskyrimas nėra paskelbimas

Adreso įdėjimas į tunelio sąsają jo neskelbia internetui. Viešam pasiekiamumui reikia maršruto, leistino kelio ir teikėjo, pasirengusio jį nešti, ir nė vienas iš jų neatsiranda todėl, kad klientas gavo adresą iš telkinio. Ugniasienės politika ir prieglobos autorizacija vėl yra atskiri sprendimai.

Štai kodėl rizika nėra tai, ką dauguma mano. Pasiskolintas prefiksas nepadaro jūsų klientų pasiekiamų; jis padaro kito žmogaus paskirties vietas nepasiekiamas iš jūsų klientų, o tai yra kita gedimo rūšis su kitu savininku. Niekas nepuolamas ir joks paskelbimas nepaspringsta. Vartotojas tiesiog negali atidaryti svetainės, kuri vakar veikė, o pagalbos tarnyba neturi priežasties įtarti VPN telkinį.

Šis skirtumas svarbus renkantis telkinį. Jei vienintelis rūpestis būtų atskleidimas internetui, viešas blokas atrodytų saugus, nes niekas jo neskelbia. Rūpestis yra vietinis maršrutas, kurį klientas įdiegia tam prefiksui, ir tas maršrutas įdiegiamas nepriklausomai nuo to, ar kas nors kitas jį mato.

Ką kliento maršrutas iš tikrųjų užfiksuoja

Kai tunelis pakyla, klientas gauna maršrutą telkinio prefiksui, ir tas maršrutas įveikia numatytąjį maršrutą kiekvienai paskirties vietai jame. Užklausa teisėtam prieglobos serveriui tame bloke dabar eina į VPN, o ne į internetą. Ar ji nepavyks, užstrigs ar pasieks netinkamą serverį, priklauso nuo to, ką jūsų pusė su ja daro.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Vykdykite paiešką su pakeltu tuneliu ir vėl su nuleistu. Adresas reiškia vieną dalyką pirmuoju atveju ir visiškai ką kita antruoju, ir bet kuri programa, kuri išsaugojo ryšį ar vardo sprendimą per tą perėjimą, elgsis nenuosekliai. Tą nenuoseklumą palaikyti sunkiau nei švarų gedimą, nes jis priklauso nuo laiko. Vartotojas, kuris prisijungia iš naujo netinkamu momentu, patiria ką kita nei tas, kuris to nedaro.

Štai kodėl pažįstamas IP adresas nėra tapatybės įrodymas. Išsaugokite sertifikato ir serverio vardo tikrinimą tikrajai paskirties vietai, nes skaitmeninis adresas, kurį pasiekėte prieš penkias minutes, dabar gali priklausyti kitam pokalbiui.

Palyginkite telkinį su kiekvienu jums žinomu tinklu

RFC 1918 skiria tris blokus privačiam naudojimui: 192.168.0.0/16, 172.16.0.0/12 ir 10.0.0.0/8. Milijonai atskirų organizacijų juos naudoja pakartotinai, tad privatus yra teiginys apie paskirstymą ir niekada pažadas, kad niekas kitas nepasirinko tų pačių skaičių.

Palyginkite kandidatinį telkinį su biuro LAN tinklais, debesų VPC, kitais VPN telkiniais, partnerių jungtimis ir diapazonais, kuriuos nuotoliniai darbuotojai greičiausiai turi namuose. Namų atvejis nėra priežastis išrasti keistą prefiksą; tai priežastis laikyti telkinį mažą ir dokumentuotą.

Suderinkite paskirstymą su tuo, kas valdo maršrutizavimą, ir užrašykite grįžimo kelią toje pačioje vietoje. Telkinys, į kurį niekas negali maršrutizuoti atgal, yra telkinys, kuris bus iš naujo atrastas per sutrikimą. Įdėkite telkinį į tą patį dokumentą kaip ir svetainių diapazonus, o ne į kliento konfigūraciją, kurią redagavo tik vienas žmogus. Dokumentas yra tai, kas padaro kitą susidūrimą išvengiamą.

Kada viešasis adresavimas yra teisingas atsakymas

Organizacijos, turinčios tinkamai paskirstytą pasaulinę erdvę, gali drąsiai statyti viešai adresuotą VPN telkinį, ir kai kurios tai daro sąmoningai, kad išvengtų vertimo. Tam dizainui vis tiek reikia maršrutizavimo, šaltinio tikrinimo, prieigos taisyklių ir kliento autentifikavimo; paskirstymas nieko iš to neduoda.

Ką jis duoda, tai unikalumą, savybę, kurios pasiskolintam prefiksui trūksta. Jei valdote bloką, maršrutas, kurį įdiegia jūsų klientas, rodo į adresus, kurie tikrai yra jūsų, ir prasmė nesikeičia, kai tunelis nukrenta.

Nepridėkite NAT automatiškai, kad kompensuotumėte telkinio pasirinkimą. Maršrutizuotas privatus dizainas su aiškiais grįžimo maršrutais yra švaresnis nei vertimas, taikomas todėl, kad adresavimas niekada nebuvo suplanuotas, o IPv6 reikia savo sąmoningo plano, o ne IPv4 prielaidų kopijos.

Išimkite blogą telkinį iš naudojimo neprarasdami prieigos

Jei telkinys jau įdiegtas, prieš keisdami atlikite inventorizaciją: adresų rezervacijos, įdiegti maršrutai, DNS įrašai, kurie sprendžiasi į bloką, ugniasienės apimtys ir programos, kurios nuo jų priklauso. Tada suplanuokite pakeitimą su tokiu pat kruopštumu kaip bet kurį kitą maršrutizavimo perėjimą. Paskelbkite jį žmonėms, kurie tai pastebės, nes jų sesijos nutrūks, kai telkinys pajudės. Tylus klientų adresavimo pakeitimas generuoja palaikymo bilietus, kurie atrodo nesusiję su darbu.

Išsaugokite atkūrimo kelią, kuris nepriklauso nuo šalinamo telkinio, nes momentas, kai jį atšaukiate, yra momentas, kai jūsų nuotolinė prieiga gali dingti kartu su juo. Po to patikrinkite abi kryptis: numatytos privačios paskirties vietos vis dar veikia, o interneto paskirties vietos, kurios anksčiau buvo užfiksuotos, dabar sprendžiasi į tikruosius savininkus.

Ko norite, tai telkinys, kurį tinklo komanda gali paskirstyti, maršrutizuoti ir išimti kaip vieną nuoseklų dalyką. Adreso formatas pats savaime nesuteikia nei saugumo, nei ryšio.