Verejný prefix pre VPN klientov: čo vlastne rozbíja

Pula klientov vybraná preto, že čísla vyzerajú upratane, je trasa čakajúca na inštaláciu. Prefix nemusí byť privátny, aby VPN fungovala, a použitie bloku, ktorý patrí niekomu inému, tiež automaticky nevystavuje vašich používateľov internetu. Robí to, že tieto adresy znamenajú niečo iné, kým je tunel hore, a potom zase niečo iné, keď padne. Prejdite nižšie uvedených päť kontrol v poradí a zastavte sa tam, kde je odpoveď „pridelené inde“.

Pridelenie nie je oznámenie

Umiestnenie adresy na rozhranie tunela ju internetu neoznamuje. Verejná dostupnosť potrebuje trasu, autorizovanú cestu a poskytovateľa ochotného ju niesť, a nič z toho sa neobjaví tým, že klient dostal adresu z puly. Politika firewallu a autorizácia hostiteľa sú zase samostatné rozhodnutia.

Preto riziko nie je to, čo väčšina predpokladá. Požičaný prefix nerobí vašich klientov dostupnými; robí ciele niekoho iného nedostupnými z vašich klientov, čo je iná porucha s iným vlastníkom. Nikto nie je napadnutý a žiadne oznámenie neuniká. Používateľ jednoducho nemôže otvoriť stránku, ktorá včera fungovala, a helpdesk nemá dôvod podozrievať VPN pulu.

Rozdiel je dôležitý pri výbere puly. Keby vás zaujímalo len vystavenie internetu, verejný blok by vyzeral bezpečne, pretože ho nič neoznamuje. Ide o lokálnu trasu, ktorú klient pre tento prefix inštaluje, a tá sa inštaluje bez ohľadu na to, či ju niekto iný vidí.

Čo klientska trasa skutočne zachytáva

Keď tunel naskočí, klient dostane trasu pre prefix puly a táto trasa poráža predvolenú trasu pre každý cieľ v nej. Požiadavka na legitímneho hostiteľa v tomto bloku teraz ide do VPN namiesto internetu. Či zlyhá, zasekne sa alebo dorazí na nesprávny server, závisí od toho, čo s ním robí vaša strana.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Spustite vyhľadanie s tunelom hore a znova s tunelom dole. Adresa znamená v prvom prípade jedno a v druhom niečo úplne iné, a každá aplikácia, ktorá si cez tento prechod uložila spojenie alebo preklad mena, sa bude správať nekonzistentne. Táto nekonzistencia sa podporuje horšie než čisté zlyhanie, pretože závisí od času. Používateľ, ktorý sa znovu pripojí v nesprávnom okamihu, má iný zážitok než ten, kto to neurobí.

Preto ani známa IP adresa nie je dôkazom identity. Pre skutočný cieľ si ponechajte overenie certifikátu a mena servera, pretože číselná adresa, na ktorú ste sa dostali pred piatimi minútami, teraz môže patriť inej konverzácii.

Porovnajte pulu s každou sieťou, ktorú poznáte

RFC 1918 vyčleňuje tri bloky na súkromné použitie: 192.168.0.0/16, 172.16.0.0/12 a 10.0.0.0/8. Milióny samostatných organizácií ich znova používajú, takže privátny je tvrdenie o prideľovaní a nikdy nie sľub, že rovnaké čísla nezvolil nikto iný.

Porovnajte kandidátsku pulu s kancelárskymi LAN, cloudovými VPC, inými VPN pulami, partnerskými spojmi a rozsahmi, ktoré vzdialení pracovníci pravdepodobne majú doma. Domáci prípad nie je dôvod vymýšľať zvláštny prefix; je dôvodom udržať pulu malú a zdokumentovanú.

Zlaďte pridelenie s tým, kto vlastní smerovanie, a zaznamenajte spätnú cestu na tom istom mieste. Pula, do ktorej nikto nedokáže smerovať späť, je pula, ktorá bude počas výpadku znovu objavená. Umiestnite pulu do rovnakého dokumentu ako rozsahy lokalít, nie do klientskej konfigurácie, ktorú upravoval len jeden človek. Dokument je to, čo robí ďalšiu kolíziu vyhnuteľnou.

Kedy je verejné adresovanie správna odpoveď

Organizácie s riadne prideleným globálnym priestorom môžu pokojne postaviť VPN pulu s verejnými adresami a niektoré to robia zámerne, aby sa vyhli prekladu. Tento návrh stále potrebuje smerovanie, validáciu zdroja, pravidlá prístupu a autentifikáciu klientov; pridelenie nedodáva nič z toho.

Čo dodáva, je jedinečnosť, vlastnosť, ktorá požičanému prefixu chýba. Ak blok vlastníte, trasa, ktorú váš klient inštaluje, ukazuje na adresy, ktoré sú skutočne vaše, a význam sa pri páde tunela nemení.

Nepridávajte NAT automaticky, aby ste kompenzovali voľbu puly. Smerovaný privátny návrh s explicitnými spätnými trasami je čistejší než preklad použitý preto, že adresovanie nikdy nebolo naplánované, a IPv6 potrebuje vlastný zámerný plán, nie kópiu predpokladov IPv4.

Vyraďte zlú pulu bez straty prístupu

Ak je pula už nasadená, urobte inventúru, než ju zmeníte: rezervácie adries, nainštalované trasy, záznamy DNS, ktoré sa prekladajú do bloku, rozsahy firewallu a aplikácie, ktoré na nich závisia. Potom zmenu naplánujte s rovnakou starostlivosťou ako každý iný prechod smerovania. Oznamte ju ľuďom, ktorí si to všimnú, pretože ich relácie padnú, keď sa pula presunie. Tichá zmena adresovania klientov generuje tikety podpory, ktoré vyzerajú nesúvisiace s prácou.

Zachovajte cestu obnovy, ktorá nezávisí od puly, ktorú odstraňujete, pretože okamih, keď ju stiahnete, je okamihom, keď s ňou môže zmiznúť váš vzdialený prístup. Potom overte oba smery: zamýšľané privátne ciele stále fungujú a internetové ciele, ktoré sa predtým zachytávali, sa teraz prekladajú na svojich skutočných vlastníkov.

Chcete pulu, ktorú môže sieťový tím prideliť, smerovať a vyradiť ako jednu súdržnú vec. Formát adresy sám o sebe nezakladá ani bezpečnosť, ani konektivitu.