Eit offentleg prefiks for VPN-klientar: kva det faktisk øydelegg

Ein klientpool vald fordi tala ser ryddige ut, er ei rute som ventar på å bli installert. Prefikset treng ikkje vere privat for at VPN-en skal verke, og bruk av ein blokk som høyrer til nokon andre eksponerer heller ikkje brukarane dine for internett automatisk. Det det gjer, er å få desse adressene til å tyde noko anna så lenge tunnelen er oppe, og deretter noko anna igjen når han fell. Gå gjennom dei fem kontrollane nedanfor i rekkjefølgje og stopp der svaret er «tildelt ein annan stad».

Tildeling er ikkje annonsering

Å setje ei adresse på eit tunellgrensesnitt annonserer henne ikkje til internettet. Offentleg tilgjenge krev ei rute, ein autorisert veg og ein leverandør som er villig til å bere henne, og ingen av desse oppstår fordi ein klient fekk adressa frå ein pool. Brannmurpolitikk og vertsautorisasjon er igjen separate avgjerder.

Difor er risikoen ikkje det folk flest antek. Det lånte prefikset gjer ikkje klientane dine tilgjengelege; det gjer nokon andre sine destinasjonar utilgjengelege frå klientane dine, noko som er ein annan feil med ein annan eigar. Ingen blir angripen, og ingen annonsering slepp ut. Ein brukar kan rett og slett ikkje opne eit nettstad som fungerte i går, og brukarstøtta har ingen grunn til å mistenke VPN-poolen.

Skilnaden betyr noko når du vel ein pool. Viss den einaste uroa var eksponering mot internettet, ville ein offentleg blokk sjå trygg ut fordi ingenting annonserer henne. Uroa er den lokale ruta klienten installerer for prefikset, og den ruta blir installert uansett om nokon andre kan sjå henne.

Kva klientruta faktisk fangar opp

Når tunnelen kjem opp, får klienten ei rute for prefikset til poolen, og den ruta vinn over standardruta for kvar destinasjon innanfor. Ein førespurnad til ein legitim vert i den blokka går no til VPN-en i staden for internettet. Om han feilar, heng eller når feil tenar, avheng av kva di side gjer med han.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Køyr oppslaget med tunnelen oppe og igjen med han nede. Adressa tyder éin ting i det fyrste tilfellet og noko heilt anna i det andre, og kvar applikasjon som har bufre ein tilkobling eller eit namneoppslag over den overgangen, vil oppføre seg inkonsekvent. Den inkonsistensen er vanskelegare å støtte enn ein rein feil, fordi han avheng av tidspunktet. Ein brukar som koplar til på nytt i feil augneblink, får ei anna oppleving enn ein som ikkje gjer det.

Det er også difor ei kjend IP-adresse ikkje er prov på identitet. Hald på sertifikat- og tenarnamnvalidering for den ekte destinasjonen, for den numeriske adressa du nådde for fem minutt sidan, kan no høyre til ein annan samtale.

Samanlikn poolen med kvart nettverk du kjenner

RFC 1918 set av tre blokker til privat bruk: 192.168.0.0/16, 172.16.0.0/12 og 10.0.0.0/8. Millionar av separate organisasjonar brukar dei på nytt, så privat er ei utsegn om tildeling og aldri eit løfte om at ingen andre har valt dei same tala.

Samanlikn kandidatpoolen med kontor-LAN, sky-VPC-ar, andre VPN-poolar, partnarlenkjer og områda fjernarbeidarar truleg har heime. Heimetilfellet er ikkje grunn til å finne opp eit merkeleg prefiks; det er grunn til å halde poolen liten og dokumentert.

Koordiner tildelinga med den som eig rutaren, og registrer returvegen på same staden. Ein pool ingen kan rute tilbake til, er ein pool som blir gjenoppdaga under eit utfall. Set poolen i same dokument som nettstadområda, ikkje i ein klientkonfigurasjon som berre éin person har redigert. Dokumentet er det som gjer den neste kollisjonen unngåeleg.

Når offentleg adressering er det rette svaret

Organisasjonar med rett tildelt globalt rom kan absolutt byggje ein offentleg adressert VPN-pool, og nokre gjer det medvite for å unngå omsetjing. Det designet treng framleis rutaren, kjeldevalidering, tilgangsreglar og klientautentisering; tildelinga leverer ingen av dei.

Det ho leverer, er unikskap, eigenskapen det lånte prefikset manglar. Viss du eig blokka, peikar ruta klienten din installerer på adresser som verkeleg er dine, og tydinga endrar seg ikkje når tunnelen fell.

Ikkje legg til NAT automatisk for å kompensere for eit poolet val. Eit ruta privat design med eksplisitte returruter er reinare enn omsetjing brukt fordi adresseringa aldri vart planlagd, og IPv6 treng sin eigen medvitne plan i staden for ein kopi av IPv4-føresetnadene.

Fas ut ein dårleg pool utan å miste tilgang

Viss poolen allereie er utrulla, lag ei oversikt før du endrar han: adressereservasjonar, installerte ruter, DNS-oppføringar som løyser inn i blokka, brannmursomfang og applikasjonane som avheng av dei. Deretter planlegg du endringa med same omhug som kvar annan rutings-overgang. Annonser henne til menneska som vil merke det, for sesjonane deira vil falle når poolen flyttar seg. Ei stille endring av klientadressering genererer støttebillettar som ser ut til å ikkje ha noko med arbeidet å gjere.

Bevar ein gjenopprettingsveg som ikkje avheng av poolen du fjernar, for augneblinken du dreg han tilbake, er augneblinken der fjern tilgang kan forsvinne med han. Valider deretter begge retningar: dei tiltenkte private destinasjonane fungerer framleis, og internettdestinasjonane som tidlegare vart fanga opp, løyser no til sine ekte eigarar.

Det du vil ha, er ein pool som nettverksteamet kan tildele, rute og fase ut som éin samanhengande ting. Eit adresseformat åleine etablerer korkje tryggleik eller tilknyting.