VPN-ээр холбогдсон серверийн хувьд DNS-д аль хаяг орох вэ?
Хостлосон серверт гурван хаяг байдаг бөгөөд тэдгээр нь бие биенээ орлохгүй. Үйлчилгээ бүрт хэрэгтэй утгыг сонгоод, дараа нь машины гаднаас баталгаажуулна уу.
VPN суулгасан хостлосон сервер эцэстээ гурван хаяг хадгалдаг бөгөөд таны тохируулах гэж буй газар бүрт тэдгээрийн зөвхөн нэг нь тохирно. Үйлчилгээ үзүүлэгчийн самбараас дугаарыг DNS-д, сонсогч руу эсвэл зөвшөөрлийн жагсаалт руу хуулах нь ажиллаж буй туннелийг хэн ч хүрч чадахгүй үйлчилгээ болгох зам юм. Энэхүү удирдамж ажлыг ингэж эрэмбэлснээр хаяг бүр зарласан зорилгоор сонгогдоно. Мөн таны бодитоор нийтэлсэн зүйлийг баталгаажуулах командуудыг жагсаав.
Ямар нэгэн зүйл нийтлэхээс өмнө гурван хаягийг зур
Тэдгээрийг үүргээр нь нэрлэ. underlay хаяг нь машин интернэтээр дамжуулан VPN-ийн төгсгөлийн цэгт хүрэхэд ашигладаг хаяг бөгөөд энэ нь ихэвчлэн үйлчилгээ үзүүлэгчийн NAT-ийн ард хувийн байдаг. Туннелийн хаяг VPN-ийн дотор амьдардаг бөгөөд бүтээгдэхүүнээс хамаарч сервер эсвэл клиент өгдөг. Нийтийн гаралт нь алсын вэбсайтын орчуулгын дараа бүртгэдэг хаяг, бөгөөд танаас асуулгаж болох ямар ч интерфэйс дээр байх шаардлагагүй.
Нэг машинд зориулсан нэг нийтийн хаягийг харуулдаг самбар нь бусад хоёр үүргийн талаар танд маш бага хэлнэ. underlay-ийн хүртээмж нь шаардлага, худалдан авалт биш: гэрийн чиглүүлэгчийн ард байгаа зөөврийн компьютер нийтийн IPv4 хаяггүйгээр хостлосон VPN-ийн төгсгөлийн цэгт хүрч чадна. Таны хийж чадахгүй зүйл бол хэн ч дамжуулдаггүй хаяг руу шийдэгдэх нэрийг бичиж, орох замыг зохион бүтээх юм.
Хаягийг үйлчилгээгээр сонго, шошгоор биш
Дугаар сонгохын өмнө сервер юу хийх ёстойг бич. Гарах API дуудлага нь нөгөө тал зөвшөөрлийн жагсаалт хадгалж байх үед тогтвортой гаралт шаарддаг. Хувийн хандалтад клиентүүд чиглүүлж чадах туннелийн хаяг болон түүнд холбогдсон сонсогч хэрэгтэй. Нийтийн хостинг нь үйлчилгээ үзүүлэгчийн бодитоор санал болгодог орох зураглалыг шаарддаг бөгөөд зөвхөн гаралтын хаяг үүнийг өгдөггүй.
Нэг машин гурван зорилгыг бүгдийг нь үйлчилж чадах бөгөөд гурав өөр хаяг ашиглаж болно. Хагардаг зүйл нь нэг утга бүгдийг хамардаг гэсэн таамаглал юм:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Орох мөр нь хүмүүсийн маргадаг мөр юм. Гаралтын хаяг руу заасан бичлэг нь сонсогч, галт ханын нүх, портын зураглал үүсгэдэггүй бөгөөд хүлээх нь үүнийг өөрчлөхгүй. Үйлчилгээ үзүүлэгч тусгай хаягийг орох дүрэмтэй хамт зардаг бол тэр багц нь таны худалдаж авсан чадвар; хаяг нь өөрөө эрх биш.
Аль хаяг аль нь болохыг харуулдаг командууд
Машиныг унш, самбарыг биш. Интерфэйсийн нэр систем бүрт өөр байдаг тул хаягийг төхөөрөмжтэй тулгаж, шошгонд итгэхээс зайлсхий.
Эхний мөр нь IPv4 хаяг бүр болон түүний төхөөрөмжийг жагсааж, хоёр дахь нь мэдэгдэж буй гадаад очих газарт ямар төхөөрөмж ашиглахыг цөмөөс асууна:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Нийтийн урсгалын маршрутын хайлт туннелийн төхөөрөмжөөр хариулбал таны бүрэн туннель хүчинтэй байна. Сонсогчийн шалгалт мөн адил чухал, учир нь зөвхөн 127.0.0.1-д холбогдсон процесс туннелийн хаяг дээр хэзээ ч хариулахгүй, ямар ч нэр нийтэлсэн ч.
Үүнийг нийтлээд, дараа нь гаднаас баталгаажуул
Зөвхөн үйлчилгээнд хэрэгтэй утгыг нийтэл, үүнээс илүүг биш: хостингт A эсвэл AAAA бичлэг, гарах дуудлагад зөвшөөрлийн жагсаалтын бичлэг, хувийн хандалтад клиентийн профайл. Дараа нь чухал байрлалаас туршиж үз, энэ нь хэзээ ч таны саяхан зассан машин биш.
Хоёр шалгалт ихэнхийг хамардаг бөгөөд хоёулаа скриптэд үлдэхэд хангалттай хямд:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthТаны бичлэг байгаа гэдгийг нотолсон DNS хариулт нь хүсэлт ирж байгаагийн нотолгоо биш бөгөөд нэг амжилттай хүсэлт нь зөвхөн нэг зам нэг сүлжээнээс ажиллаж байгааг нотолно. Зөвшөөрлийн жагсаалт оролцож байгаа үед шалгалтыг гар утасны холболтоос давтаж үз, учир нь таны ажиглаж буй гаралт нь хаягийн гэр бүл болон явсан замаас хамаарч болно. Аль гэр бүлийг баталгаажуулснаа тэмдэглэ; ажиллаж буй IPv4 зам IPv6-ийн талаар огт юу ч хэлэхгүй.
Хэрэв үйлчилгээ нь орох бол гаралтын хаяг хангалтгүй
Орох хандалтад дөрвөн зүйл нэг шугамд хэрэгтэй: клиент хүрч чадах нэр эсвэл хаяг, пакетыг машин руу хүргэх зам, үүнийг хүлээн авах сонсогч, мөн үүнийг унагахгүй бодлого. VPN нь хоёр дахь элементийг өөрчилдөг, заримдаа эхнийхийг, харин гурав, дөрөв дэхэд юу ч хийдэггүй. Туннель нь хүргэлтийн зам байх үед клиентүүд гаралт руу биш, туннелийн хаяг руу холбогддог.
Үйлчилгээ бүр аль хаягаас хамааралтайг тэмдэглэ, дараа нь үйлчилгээ үзүүлэгч маршрутжуулалтын загвараа өөрчлөх бүрт энэ тэмдэглэлийг дахин хяна. Хувийн байдлаар хариулж, нийтийн байдлаар бүтэлгүйтдэг сервер нь ихэвчлэн эвдэрсэн биш; буруу таних тэмдэгээр хариулж байгаа бөгөөд засвар нь зураглалын шийдвэр бөгөөд галт ханын өөрчлөлт биш.