Koja adresa ide u DNS za poslužitelj povezan putem VPN-a?
Hostani poslužitelj drži tri adrese i one nisu zamjenjive. Odaberite vrijednost koja svakoj usluzi treba, pa je potvrdite izvan stroja.
Hostani poslužitelj s instaliranim VPN-om na kraju drži tri adrese, a samo jedna od njih pripada svakom mjestu koje upravo konfigurirate. Kopiranje broja iz nadzorne ploče pružatelja u DNS, u slušatelja ili na popis dopuštenja način je na koji radni tunel postaje usluga do koje nitko ne može doći. Ovaj priručnik slaže posao tako da se svaka adresa odabere za navedenu svrhu. Također navodi naredbe koje potvrđuju što ste stvarno objavili.
Mapirajte tri adrese prije nego što išta objavite
Imenujte ih po funkciji. Underlay adresa je ono što stroj koristi za dosezanje VPN endpointa preko interneta i često je privatna iza NAT-a pružatelja. Adresa tunela živi unutar VPN-a i dodjeljuje je poslužitelj ili klijent, ovisno o proizvodu. Javni izlaz je adresa koju udaljeno web-mjesto bilježi nakon prijevoda, i ne mora postojati ni na jednom sučelju koje možete upitati.
Ploča koja prikazuje jednu javnu adresu za stroj govori vam vrlo malo o dvije ostale uloge. Dostupnost underlayja je uvjet, a ne kupnja: prijenosnik iza kućnog usmjerivača može dosegnuti hostani VPN endpoint bez posjedovanja javne IPv4 adrese. Ono što ne možete jest izmisliti ulazni put pisanjem imena koje se razrješava na adresu koju nitko ne prosljeđuje.
Odaberite adresu prema usluzi, a ne prema oznaci
Zapišite što poslužitelj mora raditi prije odabira broja. Odlazni API pozivi trebaju stabilan izlaz kada druga strana drži popis dopuštenja. Privatni pristup treba adresu tunela prema kojoj klijenti mogu usmjeravati i slušatelja vezanog na nju. Javno hostanje treba ulazno mapiranje koje pružatelj doista nudi, a samo izlazna adresa to ne pruža.
Jedan stroj može služiti sve tri svrhe i pritom koristiti tri različite adrese. Ono što se lomi jest pretpostavka da jedna vrijednost pokriva sve njih:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Ulazni redak je onaj o kojem se ljudi svađaju. Zapis koji pokazuje na izlaznu adresu ne stvara slušatelja, ni otvaranje vatrozida, ni mapiranje porta, i čekanje to ne mijenja. Kada pružatelj prodaje namjensku adresu zajedno s ulaznim pravilom, taj paket je sposobnost koju ste kupili; adresa sama po sebi nije pravo.
Naredbe koje pokazuju koja je adresa koja
Čitajte stroj, a ne ploču. Nazivi sučelja razlikuju se među sustavima, pa povežite adrese s uređajima umjesto da vjerujete oznaci.
Prvi redak navodi svaku IPv4 adresu i njezin uređaj, a drugi pita jezgru koji bi uređaj upotrijebio za poznato vanjsko odredište:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Ako pretraga rute odgovori tunelskim uređajem za javni promet, vaš je puni tunel na snazi. Provjera slušatelja jednako je važna, jer proces vezan samo na 127.0.0.1 nikada neće odgovoriti na adresi tunela, bez obzira koje ime objavili.
Objavite je, pa provjerite izvana
Objavite vrijednost koja usluzi treba i ništa više: A ili AAAA zapis za hostanje, unos na popisu dopuštenja za odlazne pozive, profil klijenta za privatni pristup. Zatim testirajte s položaja koji je važan, a to nikada nije stroj koji ste upravo uredili.
Dvije provjere pokrivaju većinu toga, i obje su dovoljno jeftine da ostanu u skripti:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS odgovor koji dokazuje da vaš zapis postoji nije dokaz da zahtjev stiže, a jedan uspješan zahtjev dokazuje samo da jedan put radi iz jedne mreže. Ponovite provjeru preko mobilne veze kada je uključen popis dopuštenja, jer izlaz koji promatrate može ovisiti o obitelji adresa i pređenom putu. Zabilježite koju ste obitelj potvrdili; radni IPv4 put ne govori baš ništa o IPv6.
Ako je usluga ulazna, izlazna adresa nije dovoljna
Ulazni pristup treba četiri stvari poredane: ime ili adresu do koje klijent može doći, rutu koja dostavlja paket stroju, slušatelja koji ga prihvaća i politiku koja ga ne odbacuje. VPN mijenja drugi element i ponekad prvi, a za treći i četvrti ne čini ništa. Kada je tunel put dostave, klijenti se povezuju na adresu tunela, a ne na izlaz.
Zabilježite o kojoj adresi ovisi koja usluga, pa pregledajte tu bilješku kad god pružatelj promijeni svoj model usmjeravanja. Poslužitelj koji odgovara privatno i zataji javno obično nije pokvaren; odgovara pod pogrešnim identitetom, a popravak je odluka o mapiranju, a ne promjena vatrozida.