Kuris adresas įrašomas į DNS serveriui, prijungtam per VPN?
Prižiūrimas serveris turi tris adresus ir jie nėra keičiami. Pasirinkite vertę, kurios reikia kiekvienai paslaugai, ir patvirtinkite ją iš išorės.
Prižiūrimas serveris su įdiegtu VPN galiausiai turi tris adresus, ir tik vienas iš jų priklauso kiekvienai vietai, kurią ką tik konfigūruojate. Skaičiaus kopijavimas iš paslaugų teikėjo skydelio į DNS, į klausytoją ar į leidžiamų sąrašą yra būdas, kuriuo veikiantis tunelis virsta paslauga, kurios niekas nepasiekia. Šis vadovas tvarko darbą taip, kad kiekvienas adresas būtų parenkamas nurodytam tikslui. Jame taip pat išvardytos komandos, kurios patvirtina, ką iš tikrųjų paskelbėte.
Susiekite tris adresus prieš ką nors skelbdami
Pavadinkite juos pagal funkciją. Underlay adresas yra tai, ką mašina naudoja VPN pabaigos taškui pasiekti per internetą, ir jis dažnai yra privatus už paslaugų teikėjo NAT. Tunelio adresas gyvena VPN viduje ir jį suteikia serveris arba klientas, priklausomai nuo produkto. Viešoji išeitis yra adresas, kurį nuotolinė svetainė įrašo po vertimo, ir jis neturi egzistuoti jokioje sąsajoje, kurios galite paklausti.
Skydelis, rodantis vieną viešą adresą mašinai, labai mažai pasako apie kitus du vaidmenis. Underlay pasiekiamumas yra reikalavimas, o ne pirkimas: nešiojamasis kompiuteris už namų maršrutizatoriaus gali pasiekti prižiūrimą VPN pabaigos tašką neturėdamas viešo IPv4 adreso. Ko negalite padaryti, tai išgalvoti įeinantį kelią parašydami vardą, kuris išsprendžiamas į adresą, kurio niekas nepersiunčia.
Pasirinkite adresą pagal paslaugą, o ne pagal etiketę
Užsirašykite, ką serveris turi daryti, prieš pasirinkdami numerį. Išeinantys API kvietimai turi turėti stabilią išeitį, kai kita pusė laiko leidžiamų sąrašą. Privati prieiga turi turėti tunelio adresą, į kurį klientai gali maršrutizuoti, ir su juo susietą klausytoją. Viešas prieglobstis turi turėti įeinantį susiejimą, kurį paslaugų teikėjas tikrai siūlo, o vien išeities adresas to neužtikrina.
Viena mašina gali tarnauti visiems trims tikslams ir vis tiek naudoti tris skirtingus adresus. Lūžta prielaida, kad viena vertė apima juos visus:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Įeinanti eilutė yra ta, dėl kurios žmonės ginčijasi. Įrašas, rodantis į išeities adresą, nesukuria klausytojo, ugniasienės angos ar prievado susiejimo, ir laukimas to nepakeis. Kai paslaugų teikėjas parduoda skirtą adresą kartu su įeinančia taisykle, tas paketas yra gebėjimas, kurį nusipirkote; pats adresas nėra teisė.
Komandos, kurios parodo, kuris adresas yra kuris
Skaitykite mašiną, o ne skydelį. Sąsajų pavadinimai skiriasi tarp sistemų, todėl susiekite adresus su įrenginiais, o ne pasitikėkite etikete.
Pirmoji eilutė išvardija kiekvieną IPv4 adresą ir jo įrenginį, o antroji klausia branduolio, kurį įrenginį jis naudotų žinomam išoriniam tikslui:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Jei maršruto paieška viešam srautui atsako tunelio įrenginiu, jūsų pilnas tunelis galioja. Klausytojo patikra yra lygiai tokia pat svarbi, nes procesas, susietas tik su 127.0.0.1, niekada neatsakys tunelio adresu, kad ir kokį vardą paskelbtumėte.
Paskelbkite jį, tada patikrinkite iš išorės
Paskelbkite vertę, kurios reikia paslaugai, ir nieko daugiau: A arba AAAA įrašą prieglobsčiui, leidžiamų sąrašo įrašą išeinantiems kvietimams, kliento profilį privačiai prieigai. Tada išbandykite iš pozicijos, kuri svarbi, ir tai niekada nėra mašina, kurią ką tik redagavote.
Dvi patikros apima didžiąją dalį, ir abi yra pakankamai pigios, kad liktų scenarijuje:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS atsakymas, įrodantis, kad jūsų įrašas egzistuoja, nėra įrodymas, kad užklausa ateis, o viena sėkminga užklausa įrodo tik tai, kad vienas kelias veikia iš vieno tinklo. Pakartokite patikrą per mobilųjį ryšį, kai dalyvauja leidžiamų sąrašas, nes stebima išeitis gali priklausyti nuo adresų šeimos ir pasirinkto maršruto. Užsirašykite, kurią šeimą patvirtinote; veikiantis IPv4 kelias nieko nepasako apie IPv6.
Jei paslauga yra įeinanti, išeities adreso nepakanka
Įeinanti prieiga turi turėti keturis dalykus vienoje linijoje: vardą arba adresą, kurį klientas pasiekia, maršrutą, kuris pristato paketą mašinai, klausytoją, kuris jį priima, ir taisyklę, kuri jo neatmeta. VPN pakeičia antrą elementą ir kartais pirmą, o trečiajam ir ketvirtajam nedaro nieko. Kai tunelis yra pristatymo kelias, klientai jungiasi prie tunelio adreso, o ne prie išeities.
Užrašykite, nuo kurio adreso priklauso kiekviena paslauga, ir peržiūrėkite tą užrašą kaskart, kai paslaugų teikėjas pakeičia savo maršrutizavimo modelį. Serveris, kuris atsako privačiai ir nepavyksta viešai, paprastai nėra sugedęs; jis atsako netinkamu tapatumu, o taisymas yra susiejimo sprendimas, o ne ugniasienės pakeitimas.