Awalan awam untuk klien VPN: apa yang sebenarnya rosak

Kumpulan klien yang dipilih kerana nombornya kelihatan kemas ialah laluan yang menunggu untuk dipasang. Awalan itu tidak perlu bersifat persendirian agar VPN berfungsi, dan penggunaan blok milik orang lain juga tidak secara automatik mendedahkan pengguna anda kepada internet. Apa yang dilakukannya ialah menjadikan alamat tersebut bermaksud sesuatu yang lain selagi terowong naik, dan kemudian bermaksud sesuatu yang lain lagi apabila ia terputus. Lalui lima semakan di bawah mengikut urutan dan berhenti di tempat jawapannya «diperuntukkan di tempat lain».

Peruntukan bukan pengumuman

Meletakkan alamat pada antara muka terowong tidak mengumumkannya kepada internet. Ketercapaian awam memerlukan laluan, laluan yang dibenarkan dan penyedia yang bersedia membawanya, dan tiada satu pun daripadanya muncul kerana klien menerima alamat daripada kumpulan. Dasar tembok api dan kebenaran hos ialah keputusan berasingan lagi.

Itulah sebabnya risikonya bukan seperti yang disangka kebanyakan orang. Awalan pinjaman tidak menjadikan klien anda boleh dicapai; ia menjadikan destinasi orang lain tidak boleh dicapai daripada klien anda, yang merupakan kegagalan berbeza dengan pemilik berbeza. Tiada siapa diserang dan tiada pengumuman terlepas. Pengguna semata-mata tidak dapat membuka laman yang berfungsi semalam, dan meja bantuan tidak mempunyai sebab untuk mengesyaki kumpulan VPN.

Perbezaan ini penting apabila anda memilih kumpulan. Jika satu-satunya kebimbangan anda ialah pendedahan kepada internet, blok awam akan kelihatan selamat kerana tiada apa yang mengumumkannya. Kebimbangannya ialah laluan tempatan yang dipasang klien untuk awalan itu, dan laluan itu tetap dipasang sama ada orang lain dapat melihatnya atau tidak.

Apa yang sebenarnya ditangkap oleh laluan klien

Apabila terowong naik, klien menerima laluan untuk awalan kumpulan itu, dan laluan tersebut mengalahkan laluan lalai bagi setiap destinasi di dalamnya. Permintaan kepada hos yang sah dalam blok itu kini pergi ke VPN dan bukan ke internet. Sama ada ia gagal, tergantung atau sampai ke pelayan yang salah bergantung kepada apa yang pihak anda lakukan dengannya.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Jalankan carian dengan terowong naik dan sekali lagi dengan terowong turun. Alamat itu bermaksud satu perkara dalam kes pertama dan sesuatu yang sama sekali berbeza dalam kes kedua, dan mana-mana aplikasi yang telah menyimpan sambungan atau penyelesaian nama merentas peralihan itu akan bertindak secara tidak konsisten. Ketidakselarasan itu lebih sukar disokong daripada kegagalan bersih, kerana ia bergantung pada masa. Pengguna yang menyambung semula pada saat yang salah mendapat pengalaman berbeza daripada yang tidak.

Itulah juga sebabnya alamat IP yang biasa bukan bukti identiti. Kekalkan pengesahan sijil dan nama pelayan untuk destinasi sebenar, kerana alamat berangka yang anda capai lima minit lalu mungkin kini milik perbualan lain.

Bandingkan kumpulan itu dengan setiap rangkaian yang anda kenal

RFC 1918 menyisihkan tiga blok untuk kegunaan persendirian: 192.168.0.0/16, 172.16.0.0/12 dan 10.0.0.0/8. Berjuta-juta organisasi berasingan menggunakannya semula, jadi persendirian ialah kenyataan tentang peruntukan dan tidak pernah janji bahawa tiada orang lain memilih nombor yang sama.

Bandingkan kumpulan calon dengan LAN pejabat, VPC awan, kumpulan VPN lain, pautan rakan kongsi dan julat yang mungkin dimiliki pekerja jauh di rumah. Kes rumah bukan alasan untuk mencipta awalan aneh; ia adalah alasan untuk mengekalkan kumpulan itu kecil dan didokumenkan.

Selaraskan peruntukan dengan pihak yang memiliki penghalaan, dan catat laluan balik di tempat yang sama. Kumpulan yang tiada siapa boleh menghala balik ialah kumpulan yang akan ditemui semula semasa gangguan. Letakkan kumpulan itu dalam dokumen yang sama dengan julat tapak, bukan dalam konfigurasi klien yang hanya diedit oleh satu orang. Dokumen itulah yang menjadikan perlanggaran seterusnya boleh dielakkan.

Bilakah pengalamatan awam ialah jawapan yang betul

Organisasi dengan ruang global yang diperuntukkan dengan betul boleh membina kumpulan VPN beralamat awam, dan sesetengahnya berbuat demikian dengan sengaja untuk mengelakkan terjemahan. Reka bentuk itu masih memerlukan penghalaan, pengesahan sumber, peraturan akses dan pengesahan klien; peruntukan tidak menyediakan satu pun daripadanya.

Apa yang disediakannya ialah keunikan, sifat yang tidak dimiliki oleh awalan pinjaman. Jika anda memiliki blok itu, laluan yang dipasang klien anda menunjuk kepada alamat yang benar-benar milik anda, dan maknanya tidak berubah apabila terowong terputus.

Jangan tambah NAT secara automatik untuk mengimbangi pilihan kumpulan. Reka bentuk persendirian berpenghalaan dengan laluan balik yang jelas lebih bersih daripada terjemahan yang digunakan kerana pengalamatan tidak pernah dirancang, dan IPv6 memerlukan pelan sengaja tersendiri dan bukan salinan andaian IPv4.

Pencenkan kumpulan yang buruk tanpa kehilangan akses

Jika kumpulan itu sudah digunakan, buat inventori sebelum mengubahnya: tempahan alamat, laluan yang dipasang, rekod DNS yang menyelesaikan ke dalam blok itu, skop tembok api dan aplikasi yang bergantung padanya. Kemudian jadualkan perubahan itu dengan teliti seperti mana-mana peralihan penghalaan lain. Umumkan kepada orang yang akan menyedarinya, kerana sesi mereka akan terputus apabila kumpulan itu bergerak. Perubahan senyap pada pengalamatan klien menghasilkan tiket sokongan yang kelihatan tidak berkaitan dengan kerja itu.

Kekalkan laluan pemulihan yang tidak bergantung pada kumpulan yang anda buang, kerana saat anda menariknya balik ialah saat akses jauh anda mungkin hilang bersamanya. Selepas itu sahkan kedua-dua arah: destinasi persendirian yang dimaksudkan masih berfungsi, dan destinasi internet yang dahulunya ditangkap kini menyelesaikan kepada pemilik sebenar.

Apa yang anda mahu ialah kumpulan yang boleh diperuntukkan, dihalakan dan dipencenkan oleh pasukan rangkaian sebagai satu perkara yang koheren. Format alamat sahaja tidak menetapkan keselamatan mahupun ketersambungan.