Ktorá adresa patrí do DNS pre server pripojený cez VPN?
Hostovaný server drží tri adresy a nie sú zameniteľné. Vyberte hodnotu, ktorú každá služba potrebuje, a potom ju potvrďte zvonku stroja.
Hostovaný server s nainštalovanou VPN napokon drží tri adresy a iba jedna z nich patrí na každé miesto, ktoré práve konfigurujete. Kopírovanie čísla z panela poskytovateľa do DNS, do poslucháča alebo na zoznam povolených je spôsob, akým sa fungujúci tunel zmení na službu, na ktorú sa nikto nedostane. Táto príručka zoraďuje prácu tak, aby každá adresa bola vybraná pre uvedený účel. Uvádza aj príkazy, ktoré potvrdzujú, čo ste skutočne publikovali.
Zmapujte tri adresy, skôr než čokoľvek publikujete
Pomenujte ich podľa funkcie. Adresa underlay je to, čo stroj používa na dosiahnutie koncového bodu VPN cez internet, a často je súkromná za NAT poskytovateľa. Adresa tunela žije vnútri VPN a prideľuje ju server alebo klient podľa produktu. Verejný výstup je adresa, ktorú vzdialený web zaznamená po preklade, a nemusí existovať na žiadnom rozhraní, na ktoré sa môžete opýtať.
Panel, ktorý ukazuje jednu verejnú adresu pre stroj, vám o dvoch zvyšných rolách povie veľmi málo. Dostupnosť underlay je požiadavka, nie nákup: notebook za domácim routerom môže dosiahnuť hostovaný koncový bod VPN bez toho, aby vlastnil verejnú adresu IPv4. Čo nemôžete urobiť, je vymyslieť vstupnú cestu napísaním mena, ktoré sa preloží na adresu, ktorú nikto neposiela ďalej.
Vyberte adresu podľa služby, nie podľa štítku
Zapíšte, čo server musí robiť, skôr než vyberiete číslo. Odchádzajúce volania API potrebujú stabilný výstup, keď druhá strana vedie zoznam povolených. Súkromný prístup potrebuje adresu tunela, na ktorú klienti môžu smerovať, a poslucháča naviazaného na ňu. Verejný hosting potrebuje vstupné mapovanie, ktoré poskytovateľ skutočne ponúka, a samotná výstupná adresa to neposkytne.
Jeden stroj môže slúžiť všetkým trom účelom a napriek tomu používať tri rôzne adresy. Čo sa láme, je predpoklad, že jedna hodnota pokrýva všetky:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Vstupný riadok je ten, o ktorom sa ľudia hádajú. Záznam ukazujúci na výstupnú adresu nevytvorí poslucháča, otvorenie firewalu ani mapovanie portu, a čakanie to nezmení. Keď poskytovateľ predáva vyhradenú adresu spolu so vstupným pravidlom, je tento balík schopnosť, ktorú ste kúpili; adresa sama o sebe nie je nárok.
Príkazy, ktoré ukazujú, ktorá adresa je ktorá
Čítajte stroj, nie panel. Názvy rozhraní sa medzi systémami líšia, preto priraďte adresy k zariadeniam, namiesto toho, aby ste verili štítku.
Prvý riadok vypisuje každú adresu IPv4 a jej zariadenie a druhý sa pýta jadra, ktoré zariadenie by použilo pre známy vonkajší cieľ:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Ak vyhľadanie trasy odpovie tunelovým zariadením pre verejnú prevádzku, váš plný tunel je v platnosti. Kontrola poslucháča je rovnako dôležitá, pretože proces naviazaný len na 127.0.0.1 nikdy neodpovie na adrese tunela, akokoľvek pomenujete publikovaný záznam.
Publikujte ju a potom overte zvonku
Publikujte hodnotu, ktorú služba potrebuje, a nič viac: záznam A alebo AAAA pre hosting, položku zoznamu povolených pre odchádzajúce volania, profil klienta pre súkromný prístup. Potom testujte z pozície, na ktorej záleží, a tou nikdy nie je stroj, ktorý ste práve upravili.
Dve kontroly pokrývajú väčšinu a obe sú dosť lacné na to, aby ste ich udržali v skripte:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthOdpoveď DNS dokazujúca, že váš záznam existuje, nie je dôkazom, že požiadavka dorazí, a jedna úspešná požiadavka dokazuje len to, že jedna cesta funguje z jednej siete. Zopakujte kontrolu cez mobilné pripojenie, keď je v hre zoznam povolených, pretože výstup, ktorý pozorujete, môže závisieť od rodiny adries a zvolenej trasy. Poznamenajte si, ktorú rodinu ste overili; fungujúca cesta IPv4 nehovorí o IPv6 absolútne nič.
Ak je služba vstupná, výstupná adresa nestačí
Vstupný prístup potrebuje štyri veci v jednej línii: meno alebo adresu, na ktorú sa klient dostane, trasu, ktorá doručí paket stroju, poslucháča, ktorý ho prijme, a politiku, ktorá ho nezahodí. VPN mení druhý prvok a niekedy prvý a pre tretí a štvrtý nerobí nič. Keď je tunelom cesta doručenia, klienti sa pripájajú k adrese tunela, nie k výstupu.
Zaznamenajte, na ktorej adrese ktorá služba závisí, a túto poznámku znova prejdite, kedykoľvek poskytovateľ zmení svoj model smerovania. Server, ktorý odpovedá súkromne a zlyháva verejne, zvyčajne nie je pokazený; odpovedá pod nesprávnou identitou a oprava je rozhodnutie o mapovaní, nie zmena firewalu.