Alamat mana yang masuk ke DNS untuk pelayan yang disambungkan melalui VPN?
Pelayan yang dihoskan menyimpan tiga alamat dan ketiga-tiganya tidak boleh saling menggantikan. Pilih nilai yang diperlukan setiap perkhidmatan, kemudian sahkan dari luar mesin.
Pelayan yang dihoskan dengan VPN terpasang akhirnya menyimpan tiga alamat, dan hanya satu daripadanya sesuai untuk setiap tempat yang akan anda konfigurasikan. Menyalin nombor dari panel pembekal ke DNS, ke pendengar atau ke senarai kebenaran ialah cara terowong yang berfungsi bertukar menjadi perkhidmatan yang tiada siapa dapat capai. Panduan ini menyusun kerja supaya setiap alamat dipilih untuk tujuan yang dinyatakan. Ia juga menyenaraikan arahan yang mengesahkan apa yang sebenarnya anda terbitkan.
Petakan ketiga-tiga alamat sebelum menerbitkan apa-apa
Namakan mengikut fungsinya. Alamat underlay ialah yang digunakan mesin untuk mencapai titik akhir VPN melalui internet, dan selalunya peribadi di sebalik NAT pembekal. Alamat terowong hidup di dalam VPN, diberikan oleh pelayan atau klien bergantung pada produk. Keluaran awam ialah alamat yang direkodkan tapak web jauh selepas penterjemahan, dan ia tidak perlu wujud pada mana-mana antara muka yang boleh anda tanyakan.
Panel yang memaparkan satu alamat awam untuk sesuatu mesin memberitahu anda sangat sedikit tentang dua peranan yang lain. Ketercapaian underlay ialah keperluan, bukan pembelian: komputer riba di sebalik penghala rumah boleh mencapai titik akhir VPN yang dihoskan tanpa memiliki alamat IPv4 awam. Apa yang anda tidak boleh lakukan ialah mereka-reka laluan masuk dengan menulis nama yang menyelesaikan ke alamat yang tiada siapa memajukannya.
Pilih alamat mengikut perkhidmatan, bukan mengikut label
Tuliskan apa yang pelayan mesti lakukan sebelum memilih nombor. Panggilan API keluar memerlukan keluaran yang stabil apabila pihak lain menyimpan senarai kebenaran. Akses peribadi memerlukan alamat terowong yang boleh dilalui klien dan pendengar yang terikat padanya. Pengehosan awam memerlukan pemetaan masuk yang benar-benar ditawarkan pembekal, dan alamat keluar sahaja tidak menyediakannya.
Satu mesin boleh melayani ketiga-tiga tujuan itu dan masih menggunakan tiga alamat berbeza. Yang runtuh ialah andaian bahawa satu nilai meliputi kesemuanya:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Baris masuk ialah yang dipertikaikan orang. Rekod yang menunjuk ke alamat keluar tidak mencipta pendengar, tidak membuka firewall dan tidak memetakan port, dan menunggu tidak mengubahnya. Apabila pembekal menjual alamat khusus bersama peraturan masuk, pakej itulah keupayaan yang anda beli; alamatnya sendiri bukan hak.
Arahan yang menunjukkan alamat mana yang mana
Baca mesinnya, bukan panelnya. Nama antara muka berbeza antara sistem, jadi padankan alamat dengan peranti daripada mempercayai label.
Baris pertama menyenaraikan setiap alamat IPv4 dan perantinya, dan baris kedua bertanya kepada kernel peranti mana yang akan digunakannya untuk destinasi luar yang diketahui:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Jika carian laluan menjawab dengan peranti terowong untuk trafik awam, terowong penuh anda berkuat kuasa. Pemeriksaan pendengar sama pentingnya, kerana proses yang terikat hanya pada 127.0.0.1 tidak akan pernah menjawab pada alamat terowong, apa pun nama yang anda terbitkan.
Terbitkannya, kemudian sahkan dari luar
Terbitkan hanya nilai yang diperlukan perkhidmatan: rekod A atau AAAA untuk pengehosan, entri senarai kebenaran untuk panggilan keluar, profil klien untuk akses peribadi. Kemudian uji dari kedudukan yang penting, dan itu tidak pernah mesin yang baru anda sunting.
Dua pemeriksaan meliputi sebahagian besar, dan kedua-duanya cukup murah untuk disimpan dalam skrip:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthJawapan DNS yang membuktikan rekod anda wujud bukan bukti bahawa permintaan tiba, dan satu permintaan yang berjaya hanya membuktikan satu laluan berfungsi dari satu rangkaian. Ulang pemeriksaan dari sambungan mudah alih apabila senarai kebenaran terlibat, kerana keluaran yang anda perhatikan mungkin bergantung pada keluarga alamat dan laluan yang diambil. Catat keluarga mana yang anda sahkan; laluan IPv4 yang berfungsi tidak mengatakan apa-apa tentang IPv6.
Jika perkhidmatan itu masuk, alamat keluar tidak mencukupi
Akses masuk memerlukan empat perkara sejajar: nama atau alamat yang boleh dicapai klien, laluan yang menghantar paket ke mesin, pendengar yang menerimanya, dan dasar yang tidak menggugurkannya. VPN mengubah unsur kedua dan kadang-kadang yang pertama, dan tidak melakukan apa-apa untuk yang ketiga dan keempat. Apabila terowong ialah laluan penghantaran, klien bersambung ke alamat terowong, bukan ke alamat keluar.
Catat alamat mana yang menjadi sandaran setiap perkhidmatan, kemudian semak catatan itu setiap kali pembekal mengubah model penghalaannya. Pelayan yang menjawab secara peribadi dan gagal secara awam biasanya tidak rosak; ia menjawab dengan identiti yang salah, dan pembaikannya ialah keputusan pemetaan, bukan perubahan firewall.