Javna predpona za odjemalce VPN: kaj v resnici zlomi

Skupina odjemalcev, izbrana zato, ker so številke videti lepo urejene, je pot, ki čaka na namestitev. Predponi ni treba biti zasebna, da VPN deluje, in uporaba bloka, ki pripada nekomu drugemu, tudi ne izpostavi vaših uporabnikov internetu samodejno. Kar naredi, je, da ti naslovi pomenijo nekaj drugega, dokler je tunel pokonci, in nato spet nekaj drugega, ko pade. Pojdite skozi pet spodnjih preverjanj po vrsti in se ustavite tam, kjer je odgovor »dodeljeno drugje«.

Dodelitev ni objava

Postavitev naslova na vmesnik tunela ga ne objavi internetu. Javna dosegljivost zahteva pot, pooblaščeno pot in ponudnika, pripravljenega, da jo nosi, in nič od tega se ne pojavi zato, ker je odjemalec dobil naslov iz skupine. Pravila požarnega zidu in avtorizacija gostitelja so spet ločene odločitve.

Zato tveganje ni tisto, kar večina predvideva. Izposojena predpona ne naredi vaših odjemalcev dosegljivih; naredi cilje nekoga drugega nedosegljive z vaših odjemalcev, kar je druga okvara z drugim lastnikom. Nihče ni napaden in nobena objava ne uide. Uporabnik preprosto ne more odpreti spletnega mesta, ki je delovalo včeraj, in pomoč uporabnikom nima razloga sumiti na skupino VPN.

Razlika je pomembna pri izbiri skupine. Če bi bila edina skrb izpostavljenost internetu, bi javni blok izgledal varno, ker ga nič ne objavi. Skrb je lokalna pot, ki jo odjemalec namesti za to predpono, in ta pot se namesti ne glede na to, ali jo kdo drug vidi.

Kaj odjemalčeva pot v resnici zajame

Ko se tunel dvigne, odjemalec prejme pot za predpono skupine, in ta pot premaga privzeto pot za vsak cilj v njej. Zahteva do zakonitega gostitelja v tem bloku gre zdaj v VPN namesto v internet. Ali bo spodletela, obvisela ali prišla na napačen strežnik, je odvisno od tega, kaj z njo naredi vaša stran.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Zaženite iskanje z dvignjenim tunelom in znova s spuščenim. Naslov pomeni eno v prvem primeru in nekaj povsem drugega v drugem, in vsaka aplikacija, ki je med tem prehodom predpomnila povezavo ali razrešitev imena, se bo obnašala nedosledno. To nedoslednost je težje podpirati kot čisto napako, ker je odvisna od časa. Uporabnik, ki se ponovno poveže v napačnem trenutku, ima drugačno izkušnjo kot tisti, ki tega ne stori.

Zato tudi znan naslov IP ni dokaz identitete. Za resnični cilj ohranite preverjanje potrdila in imena strežnika, ker številčni naslov, do katerega ste prišli pred petimi minutami, zdaj lahko pripada drugemu pogovoru.

Primerjajte skupino z vsakim omrežjem, ki ga poznate

RFC 1918 nameni tri bloke za zasebno uporabo: 192.168.0.0/16, 172.16.0.0/12 in 10.0.0.0/8. Milijoni ločenih organizacij jih znova uporabljajo, zato je zasebno trditev o dodeljevanju in nikoli obljuba, da nihče drug ni izbral istih številk.

Primerjajte kandidatno skupino s pisarniškimi LAN, oblaki VPC, drugimi skupinami VPN, partnerskimi povezavami in obsegi, ki jih imajo delavci na daljavo verjetno doma. Domači primer ni razlog za izmišljanje nenavadne predpone; je razlog, da skupino ohranite majhno in dokumentirano.

Uskladite dodelitev s tistim, ki ima usmerjanje, in zapišite povratno pot na isto mesto. Skupina, v katero nihče ne more usmerjati nazaj, je skupina, ki bo med izpadom znova odkrita. Postavite skupino v isti dokument kot obsege lokacij, ne v konfiguracijo odjemalca, ki jo je urejala samo ena oseba. Dokument je tisto, kar naredi naslednje trčenje izogibno.

Kdaj je javno naslavljanje pravi odgovor

Organizacije s pravilno dodeljenim globalnim prostorom lahko zlahka zgradijo skupino VPN z javnimi naslovi in nekatere to storijo namenoma, da se izognejo prevajanju. Ta zasnova še vedno potrebuje usmerjanje, preverjanje vira, pravila dostopa in avtentikacijo odjemalcev; dodelitev ne zagotavlja nobenega od tega.

Kar zagotavlja, je edinstvenost, lastnost, ki je izposojeni predponi manjka. Če imate blok, pot, ki jo namesti vaš odjemalec, kaže na naslove, ki so resnično vaši, in pomen se ne spremeni, ko tunel pade.

Ne dodajajte NAT samodejno, da bi nadomestili izbiro skupine. Usmerjena zasebna zasnova z izrecnimi povratnimi potmi je čistejša od prevajanja, uporabljenega zato, ker naslavljanje ni bilo nikoli načrtovano, in IPv6 potrebuje svoj namerni načrt, ne kopije predpostavk IPv4.

Umaknite slabo skupino brez izgube dostopa

Če je skupina že nameščena, naredite popis, preden jo spremenite: rezervacije naslovov, nameščene poti, zapisi DNS, ki se razrešujejo v blok, obsegi požarnega zidu in aplikacije, ki so od njih odvisne. Nato načrtujte spremembo z enako skrbnostjo kot vsak drug prehod usmerjanja. Objavite jo ljudem, ki jo bodo opazili, ker bodo njihove seje padle, ko se skupina premakne. Tiho spreminjanje naslavljanja odjemalcev ustvarja zahtevke za podporo, ki izgledajo nepovezane z delom.

Ohranite pot za obnovitev, ki ni odvisna od skupine, ki jo odstranjujete, ker je trenutek, ko jo umaknete, trenutek, ko lahko z njo izgine vaš oddaljeni dostop. Nato preverite obe smeri: predvideni zasebni cilji še delujejo in internetni cilji, ki so bili prej zajeti, se zdaj razrešujejo na svoje resnične lastnike.

Želite skupino, ki jo lahko omrežna ekipa dodeli, usmerja in umakne kot eno skladno stvar. Format naslova sam po sebi ne zagotavlja ne varnosti ne povezljivosti.