Publisks prefikss VPN klientiem: ko tas patiešām salauž

Klientu kopums, kas izvēlēts tāpēc, ka skaitļi izskatās kārtīgi, ir maršruts, kas gaida instalēšanu. Prefiksam nav jābūt privātam, lai VPN darbotos, un cita īpašumā esoša bloka izmantošana arī automātiski neatklāj jūsu lietotājus internetā. Tas dara to, ka šīs adreses nozīmē ko citu, kamēr tunelis ir augšā, un pēc tam atkal ko citu, kad tas nokrīt. Izpildiet piecas pārbaudes zemāk secīgi un apstājieties tur, kur atbilde ir «piešķirts citur».

Piešķiršana nav paziņojums

Adreses ievietošana tuneļa saskarnē to nepaziņo internetam. Publiskai sasniedzamībai vajag maršrutu, atļautu ceļu un pakalpojumu sniedzēju, kas gatavs to nest, un neviens no tiem neparādās tāpēc, ka klients saņēma adresi no kopuma. Ugunsmūra politika un resursdatora autorizācija atkal ir atsevišķi lēmumi.

Tāpēc risks nav tas, ko pieņem vairums. Aizņemtais prefikss nepadara jūsu klientus sasniedzamus; tas padara kāda cita galamērķus nesasniedzamus no jūsu klientiem, un tas ir cita veida bojājums ar citu īpašnieku. Neviens netiek uzbrukts un neviens paziņojums neizplūst. Lietotājs vienkārši nevar atvērt vietni, kas vakar strādāja, un atbalsta dienestam nav iemesla aizdomām par VPN kopumu.

Šī atšķirība ir svarīga, izvēloties kopumu. Ja vienīgās rūpes būtu pakļaušana internetam, publisks bloks izskatītos drošs, jo nekas to nepaziņo. Rūpes ir par vietējo maršrutu, ko klients instalē šim prefiksam, un šis maršruts tiek instalēts neatkarīgi no tā, vai kāds cits to redz.

Ko klienta maršruts patiešām pārtver

Kad tunelis paceļas, klients saņem maršrutu kopuma prefiksam, un šis maršruts uzvar noklusējuma maršrutu katram galamērķim tajā. Pieprasījums uz likumīgu resursdatoru šajā blokā tagad iet uz VPN, nevis internetu. Vai tas neizdosies, iesprūdīs vai nonāks nepareizajā serverī, ir atkarīgs no tā, ko jūsu puse ar to dara.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Palaidiet meklēšanu ar paceltu tuneli un vēlreiz ar nolaistu. Adrese nozīmē vienu pirmajā gadījumā un kaut ko pavisam citu otrajā, un jebkura lietotne, kas šīs pārejas laikā saglabāja savienojumu vai vārda atrisinājumu, uzvedīsies nekonsekventi. Šo nekonsekvenci ir grūtāk atbalstīt nekā tīru bojājumu, jo tā ir atkarīga no laika. Lietotājs, kurš atkārtoti pievienojas nepareizajā brīdī, gūst citu pieredzi nekā tas, kurš to nedara.

Tāpēc arī pazīstama IP adrese nav identitātes pierādījums. Saglabājiet sertifikāta un servera nosaukuma validāciju īstajam galamērķim, jo skaitliskā adrese, kuru sasniedzāt pirms piecām minūtēm, tagad var piederēt citai sarunai.

Salīdziniet kopumu ar katru tīklu, ko pazīstat

RFC 1918 atvēl trīs blokus privātai lietošanai: 192.168.0.0/16, 172.16.0.0/12 un 10.0.0.0/8. Miljoniem atsevišķu organizāciju tos izmanto atkārtoti, tāpēc privāts ir apgalvojums par piešķiršanu un nekad nav solījums, ka neviens cits nav izvēlējies tos pašus skaitļus.

Salīdziniet kandidātu kopumu ar biroja LAN tīkliem, mākoņa VPC, citiem VPN kopumiem, partneru saitēm un diapazoniem, kas attālinātajiem darbiniekiem, visticamāk, ir mājās. Mājas gadījums nav iemesls izgudrot dīvainu prefiksu; tas ir iemesls turēt kopumu mazu un dokumentētu.

Saskaņojiet piešķiršanu ar to, kam pieder maršrutēšana, un pierakstiet atgriešanās ceļu tajā pašā vietā. Kopums, uz kuru neviens nevar maršrutēt atpakaļ, ir kopums, kas tiks atklāts no jauna pārtraukuma laikā. Ievietojiet kopumu tajā pašā dokumentā kā vietņu diapazonus, nevis klienta konfigurācijā, kuru rediģējusi tikai viena persona. Dokuments ir tas, kas padara nākamo sadursmi novēršamu.

Kad publiskā adresācija ir pareizā atbilde

Organizācijas ar pareizi piešķirtu globālo telpu var droši būvēt publiski adresētu VPN kopumu, un dažas to dara apzināti, lai izvairītos no tulkošanas. Šim dizainam joprojām vajag maršrutēšanu, avota validāciju, piekļuves noteikumus un klienta autentifikāciju; piešķiršana neko no tā nedod.

Ko tas dod, ir unikalitāte, īpašība, kuras aizņemtajam prefiksam trūkst. Ja bloks pieder jums, maršruts, ko instalē jūsu klients, norāda uz adresēm, kas patiešām ir jūsu, un nozīme nemainās, kad tunelis nokrīt.

Nepievienojiet NAT automātiski, lai kompensētu kopuma izvēli. Maršrutēts privāts dizains ar skaidriem atgriešanās maršrutiem ir tīrāks par tulkošanu, kas tiek piemērota tāpēc, ka adresācija nekad netika plānota, un IPv6 vajag savu apzinātu plānu, nevis IPv4 pieņēmumu kopiju.

Izņemiet sliktu kopumu no lietošanas, nezaudējot piekļuvi

Ja kopums jau ir izvietots, pirms tā maiņas veiciet uzskaiti: adrešu rezervācijas, instalētie maršruti, DNS ieraksti, kas atrisinās blokā, ugunsmūra tvērumi un lietotnes, kas no tiem atkarīgas. Pēc tam plānojiet izmaiņas ar tādu pašu rūpību kā jebkuru citu maršrutēšanas pāreju. Paziņojiet to cilvēkiem, kuri to pamanīs, jo viņu sesijas nokritīs, kad kopums pārvietosies. Klusa klientu adresācijas maiņa rada atbalsta pieteikumus, kas izskatās nesaistīti ar darbu.

Saglabājiet atkopšanas ceļu, kas nav atkarīgs no kopuma, kuru noņemat, jo brīdis, kad to atsaucat, ir brīdis, kad jūsu attālinātā piekļuve var pazust kopā ar to. Pēc tam validējiet abus virzienus: paredzētie privātie galamērķi joprojām darbojas, un interneta galamērķi, kas agrāk tika pārtverti, tagad atrisinās uz saviem īstajiem īpašniekiem.

Ko jūs vēlaties, ir kopums, ko tīkla komanda var piešķirt, maršrutēt un izņemt kā vienu saskanīgu lietu. Adreses formāts pats par sevi nenosaka ne drošību, ne savienojamību.