Јавен префикс за VPN клиенти: што всушност крши

Базен на клиенти избран затоа што броевите изгледаат уредно е рута што чека да биде инсталирана. Префиксот не мора да биде приватен за VPN-от да работи, а користењето блок што му припаѓа на некој друг исто така не ги изложува вашите корисници на интернет автоматски. Она што го прави е тие адреси да значат нешто друго додека тунелот е кренат, а потоа повторно да значат нешто друго кога ќе падне. Поминете ги петте проверки подолу по ред и застанете таму каде одговорот е „доделено на друго место“.

Доделувањето не е објава

Ставањето адреса на интерфејс на тунел не ја објавува на интернет. Јавната достапност бара рута, овластена патека и провајдер подготвен да ја носи, и ништо од тоа не се појавува затоа што клиентот ја добил адресата од базен. Политиката на огнениот ѕид и авторизацијата на домаќинот повторно се одделни одлуки.

Затоа ризикот не е она што го претпоставуваат повеќето. Позајмениот префикс не ги прави вашите клиенти достапни; ги прави дестинациите на некој друг недостапни од вашите клиенти, што е различен дефект со различен сопственик. Никој не е нападнат и ниту една објава не излегува. Корисникот едноставно не може да отвори страница што работеше вчера, а поддршката нема причина да го сомничи VPN базенот.

Разликата е важна кога избирате базен. Ако единствената грижа беше изложеноста на интернет, јавен блок би изгледал безбеден затоа што ништо не го објавува. Грижата е локалната рута што клиентот ја инсталира за тој префикс, и таа рута се инсталира без оглед дали некој друг може да ја види.

Што всушност фаќа рутата на клиентот

Кога тунелот ќе се крене, клиентот добива рута за префиксот на базенот, и таа рута победува над стандардната рута за секоја дестинација внатре во неа. Барањето до легитимен домаќин во тој блок сега оди кон VPN наместо кон интернет. Дали ќе пропадне, ќе виси или ќе стигне до погрешен сервер зависи од тоа што прави вашата страна со него.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Извршете го пребарувањето со кренат тунел и повторно со спуштен. Адресата значи едно во првиот случај и нешто сосема друго во вториот, и секоја апликација што кеширала врска или резолуција на име низ таа транзиција ќе се однесува неконзистентно. Таа неконзистентност е потешко да се поддржи од чист дефект, бидејќи зависи од времето. Корисник што се поврзува повторно во погрешен момент добива поинакво искуство од оној што не го прави тоа.

Затоа и позната IP адреса не е доказ за идентитет. Задржете ја проверката на сертификат и име на сервер за вистинската дестинација, бидејќи бројчаната адреса до која стигнавте пред пет минути сега може да му припаѓа на друг разговор.

Споредете го базенот со секоја мрежа што ја знаете

RFC 1918 издвојува три блокови за приватна употреба: 192.168.0.0/16, 172.16.0.0/12 и 10.0.0.0/8. Милиони одделни организации ги користат повторно, па приватно е изјава за доделувањето и никогаш ветување дека никој друг не ги избрал истите броеви.

Споредете го кандидат-базенот со канцелариски LAN мрежи, облачни VPC, други VPN базени, партнерски врски и опсезите што веројатно ги имаат далечинските работници дома. Домашниот случај не е причина да измислите чуден префикс; тој е причина да го држите базенот мал и документиран.

Координирајте го доделувањето со оној што го поседува рутирањето и запишете го повратниот пат на истото место. Базен кон кој никој не може да рутира назад е базен што ќе биде повторно откриен за време на прекин. Ставете го базенот во истиот документ како опсезите на локациите, а не во конфигурација на клиент што ја уредувал само еден човек. Документот е она што го прави следниот судир избежлив.

Кога јавното адресирање е вистинскиот одговор

Организациите со правилно доделен глобален простор можат сосема да изградат VPN базен со јавни адреси, а некои тоа го прават намерно за да избегнат превод. Тој дизајн сепак бара рутирање, валидација на изворот, правила за пристап и автентикација на клиентите; доделувањето не дава ништо од тоа.

Она што го дава е единственост, својството што му недостига на позајмениот префикс. Ако го поседувате блокот, рутата што ја инсталира вашиот клиент покажува кон адреси што навистина се ваши, а значењето не се менува кога тунелот паѓа.

Не додавајте NAT автоматски за да го надоместите изборот на базен. Рутиран приватен дизајн со експлицитни повратни рути е почист од превод применет затоа што адресирањето никогаш не било планирано, а IPv6 бара сопствен намерен план, а не копија од претпоставките на IPv4.

Повлечете лош базен без губење пристап

Ако базенот е веќе распореден, направете попис пред да го менувате: резервации на адреси, инсталирани рути, DNS записи што се резолвираат во блокот, опсези на огнениот ѕид и апликациите што зависат од нив. Потоа закажете ја промената со истото внимание како секој друг премин на рутирањето. Објавете ја на луѓето што ќе забележат, бидејќи нивните сесии ќе паднат кога базенот ќе се премести. Тивката промена на адресирањето на клиентите создава барања за поддршка што изгледаат неповрзани со работата.

Зачувајте пат за враќање што не зависи од базенот што го отстранувате, бидејќи моментот кога го повлекувате е моментот кога вашиот далечински пристап може да исчезне со него. Потоа валидирајте ги двете насоки: предвидените приватни дестинации сѐ уште работат, а интернет дестинациите што порано се фаќаа сега се резолвираат кон нивните вистински сопственици.

Она што го сакате е базен што мрежниот тим може да го додели, рутира и повлече како една кожерентна работа. Форматот на адреса сам по себе не воспоставува ниту безбедност ниту поврзаност.