Kura adrese jāieraksta DNS serverim, kas pievienots ar VPN?
Mitinātam serverim ir trīs adreses, un tās nav savstarpēji aizstājamas. Izvēlieties vērtību, kas nepieciešama katram pakalpojumam, un pēc tam apstipriniet to ārpus mašīnas.
Mitinātam serverim ar instalētu VPN galu galā ir trīs adreses, un tikai viena no tām pieder katrai vietai, kuru tikko konfigurējat. Numura kopēšana no pakalpojumu sniedzēja paneļa uz DNS, uz klausītāju vai uz atļauto sarakstu ir veids, kā strādājošs tunelis pārvēršas par pakalpojumu, kuram neviens netiek klāt. Šī rokasgrāmata sakārto darbu tā, lai katra adrese tiktu izvēlēta norādītajam mērķim. Tā arī uzskaita komandas, kas apstiprina to, ko jūs faktiski publicējāt.
Kartējiet trīs adreses, pirms kaut ko publicējat
Nosaucie tās pēc funkcijas. Underlay adrese ir tā, ko mašīna izmanto, lai sasniegtu VPN galapunktu internetā, un tā bieži ir privāta aiz pakalpojumu sniedzēja NAT. Tuneļa adrese dzīvo VPN iekšienē, un to piešķir serveris vai klients atkarībā no produkta. Publiskā izeja ir adrese, ko attāla vietne ieraksta pēc tulkojuma, un tai nav jāpastāv nevienā saskarnē, par kuru jūs varat vaicāt.
Panelis, kas rāda vienu publisku adresi mašīnai, stāsta ļoti maz par pārējām divām lomām. Underlay sasniedzamība ir prasība, nevis pirkums: klēpjdators aiz mājas maršrutētāja var sasniegt mitinātu VPN galapunktu, nepiederot publisku IPv4 adresi. Ko jūs nevarat izdarīt, ir izdomāt ienākošu ceļu, ierakstot vārdu, kas atrisinās uz adresi, kuru neviens nepārsūta.
Izvēlieties adresi pēc pakalpojuma, nevis pēc etiķetes
Pierakstiet, kas serverim jādara, pirms izvēlaties numuru. Izejošajiem API izsaukumiem nepieciešama stabila izeja, kad otrā puse uztur atļauto sarakstu. Privātai piekļuvei nepieciešama tuneļa adrese, uz kuru klienti var maršrutēt, un ar to saistīts klausītājs. Publiskai mitināšanai nepieciešama ienākoša kartēšana, ko pakalpojumu sniedzējs patiešām piedāvā, un izejas adrese vien to nenodrošina.
Viena mašīna var apkalpot visus trīs mērķus un tomēr izmantot trīs dažādas adreses. Salūzt pieņēmums, ka viena vērtība nosedz tās visas:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Ienākošā rinda ir tā, par ko cilvēki strīdas. Ieraksts, kas norāda uz izejas adresi, nerada klausītāju, ugunsmūra atvērumu vai porta kartēšanu, un gaidīšana to nemaina. Kad pakalpojumu sniedzējs pārdod īpašu adresi kopā ar ienākošu noteikumu, šis komplekts ir tā spēja, ko jūs nopirkāt; pati adrese nav tiesības.
Komandas, kas parāda, kura adrese ir kura
Lasiet mašīnu, nevis paneli. Saskarņu nosaukumi dažādās sistēmās atšķiras, tāpēc sasaistiet adreses ar ierīcēm, nevis uzticieties etiķetei.
Pirmā rinda uzskaita katru IPv4 adresi un tās ierīci, bet otrā jautā kodolam, kuru ierīci tas izmantotu zināmam ārējam galamērķim:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Ja maršruta meklēšana publiskajai plūsmai atbild ar tuneļa ierīci, jūsu pilnais tunelis ir spēkā. Klausītāja pārbaude ir tikpat svarīga, jo process, kas saistīts tikai ar 127.0.0.1, nekad neatbildēs uz tuneļa adresi, lai kādu vārdu jūs publicētu.
Publicējiet to un pēc tam pārbaudiet no ārpuses
Publicējiet vērtību, kas nepieciešama pakalpojumam, un neko vairāk: A vai AAAA ierakstu mitināšanai, atļauto saraksta ierakstu izejošajiem izsaukumiem, klienta profilu privātai piekļuvei. Pēc tam testējiet no pozīcijas, kurai ir nozīme, un tā nekad nav mašīna, kuru tikko rediģējāt.
Divas pārbaudes nosedz lielāko daļu, un abas ir pietiekami lētas, lai paliktu skriptā:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS atbilde, kas pierāda, ka jūsu ieraksts pastāv, nav pierādījums, ka pieprasījums ierodas, un viens veiksmīgs pieprasījums pierāda tikai to, ka viens ceļš darbojas no viena tīkla. Atkārtojiet pārbaudi no mobilā savienojuma, kad iesaistīts atļauto saraksts, jo novērotā izeja var būt atkarīga no adrešu saimes un izvēlētā maršruta. Pierakstiet, kuru saimi jūs apstiprinājāt; strādājošs IPv4 ceļš neko nepasaka par IPv6.
Ja pakalpojums ir ienākošs, izejas adreses nepietiek
Ienākošai piekļuvei nepieciešamas četras lietas vienā līnijā: vārds vai adrese, ko klients sasniedz, maršruts, kas piegādā pakešu mašīnai, klausītājs, kas to pieņem, un politika, kas to neizmet. VPN maina otro elementu un dažkārt pirmo, bet trešajam un ceturtajam neko nedara. Ja tunelis ir piegādes ceļš, klienti pieslēdzas tuneļa adresei, nevis izejai.
Pierakstiet, no kuras adreses ir atkarīgs katrs pakalpojums, un pārskatiet šo piezīmi ikreiz, kad pakalpojumu sniedzējs maina savu maršrutēšanas modeli. Serveris, kas atbild privāti un neizdodas publiski, parasti nav salūzis; tas atbild ar nepareizu identitāti, un labojums ir kartēšanas lēmums, nevis ugunsmūra izmaiņa.