Која адреса се пишува во DNS за сервер поврзан преку VPN?
Хостиран сервер држи три адреси и тие не се заменливи. Изберете ја вредноста што ѝ е потребна на секоја служба, па потоа потврдете ја однадвор од машината.
Хостиран сервер со инсталиран VPN на крајот држи три адреси и само една од нив припаѓа на секое место што штотуку го конфигурирате. Копирањето на бројот од панелот на давателот во DNS, во слушач или во списокот со дозволи е начинот на кој работен тунел станува служба до која никој не може да стигне. Овој прирачник ја подредува работата така што секоја адреса се избира за наведена цел. Тој исто така ги наведува командите што потврдуваат што всушност сте објавиле.
Мапирајте ги трите адреси пред да објавите нешто
Наречете ги по функција. Адресата underlay е она што машината го користи за да ја достигне крајната точка на VPN преку интернет, и таа често е приватна зад NAT на давателот. Адресата на тунелот живее внатре во VPN и ја доделува серверот или клиентот зависно од производот. Јавниот излез е адресата што оддалечен сајт ја запишува по преводот, и не мора да постои на ниту еден интерфејс што можете да го прашате.
Панел што прикажува една јавна адреса за машина ви кажува многу малку за другите две улоги. Достапноста на underlay е барање, а не купување: преносен компјутер зад домашен рутер може да достигне хостирана крајна точка на VPN без да поседува јавна адреса IPv4. Она што не можете е да измислите влезна патека со пишување име што се разрешува на адреса што никој не ја препраќа.
Изберете ја адресата според службата, а не според етикетата
Запишете што треба да прави серверот пред да изберете број. Излезните API повици бараат стабилен излез кога другата страна води список со дозволи. Приватниот пристап бара адреса на тунел кон која клиентите можат да насочуваат и слушач поврзан со неа. Јавното хостирање бара влезно мапирање што давателот навистина го нуди, и самата излезна адреса не го обезбедува тоа.
Една машина може да служи за сите три цели и сепак да користи три различни адреси. Она што се крши е претпоставката дека една вредност ги покрива сите:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Влезниот ред е оној за кој луѓето се расправаат. Запис што покажува на излезната адреса не создава слушач, отворање на огнен ѕид или мапирање на порта, и чекањето не го менува тоа. Кога давателот продава наменска адреса заедно со влезно правило, тој пакет е способноста што сте ја купиле; самата адреса не е право.
Команди што покажуваат која адреса е која
Читајте ја машината, а не панелот. Имињата на интерфејсите се разликуваат меѓу системите, затоа поврзете ги адресите со уредите наместо да ѝ верувате на етикета.
Првиот ред ја наведува секоја адреса IPv4 и нејзиниот уред, а вториот го прашува јадрото кој уред би го користело за познато надворешно одредиште:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Ако пребарувањето на рутата одговори со уред на тунел за јавниот сообраќај, вашиот целосен тунел е во сила. Проверката на слушачот е исто толку важна, бидејќи процес поврзан само со 127.0.0.1 никогаш нема да одговори на адресата на тунелот, кое и име да објавите.
Објавете ја, па проверете однадвор
Објавете ја вредноста што ѝ е потребна на службата и ништо повеќе: запис A или AAAA за хостирање, запис во списокот со дозволи за излезни повици, профил на клиент за приватен пристап. Потоа тестирајте од позицијата што е важна, и тоа никогаш не е машината што штотуку ја уредувавте.
Две проверки покриваат поголемиот дел и двете се доволно евтини за да останат во скрипта:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS одговор што докажува дека вашиот запис постои не е доказ дека барањето пристигнува, а едно успешно барање докажува само дека една патека работи од една мрежа. Повторете ја проверката преку мобилна врска кога е вклучен список со дозволи, бидејќи излезот што го набљудувате може да зависи од семејството адреси и избраната рута. Забележете кое семејство сте го потврдиле; работна патека IPv4 не кажува апсолутно ништо за IPv6.
Ако службата е влезна, излезната адреса не е доволна
Влезниот пристап бара четири работи во една линија: име или адреса до која клиентот може да стигне, рута што го доставува пакетот до машината, слушач што го прифаќа и политика што не го отфрла. VPN го менува вториот елемент и понекогаш првиот, а за третиот и четвртиот не прави ништо. Кога тунелот е патека на доставување, клиентите се поврзуваат со адресата на тунелот, а не со излезот.
Забележете од која адреса зависи секоја служба, па прегледајте ја таа белешка секогаш кога давателот ќе го смени својот модел на насочување. Сервер што одговара приватно и неуспешно јавно обично не е расипан; тој одговара под погрешна идентификација, а поправката е одлука за мапирање, а не промена на огнен ѕид.