Kateri naslov sodi v DNS za strežnik, povezan prek VPN?
Gostujoči strežnik ima tri naslove in ti niso zamenljivi. Izberite vrednost, ki jo vsaka storitev potrebuje, in jo nato potrdite zunaj stroja.
Gostujoči strežnik z nameščenim VPN na koncu hrani tri naslove in samo eden od njih sodi na vsako mesto, ki ga pravkar konfigurirate. Kopiranje številke s plošče ponudnika v DNS, v poslušalca ali na seznam dovoljenih je način, kako delujoč tunel postane storitev, do katere nihče ne pride. Ta priročnik ureja delo tako, da je vsak naslov izbran za navedeni namen. Navaja tudi ukaze, ki potrjujejo, kaj ste dejansko objavili.
Preslikajte tri naslove, preden karkoli objavite
Poimenujte jih po funkciji. Naslov underlay je tisto, kar stroj uporablja za dosego končne točke VPN prek interneta, in je pogosto zaseben za NAT ponudnika. Naslov tunela živi znotraj VPN in ga dodeli strežnik ali odjemalec, odvisno od izdelka. Javni izhod je naslov, ki ga oddaljeno spletišče zabeleži po prevodu, in mu ni treba obstajati na nobenem vmesniku, ki ga lahko vprašate.
Plošča, ki prikazuje en javni naslov za stroj, vam pove zelo malo o drugih dveh vlogah. Dosegljivost underlay je zahteva, ne nakup: prenosnik za domačim usmerjevalnikom lahko doseže gostujočo končno točko VPN brez javnega naslova IPv4. Česar ne morete, je izmisliti vhodno pot s pisanjem imena, ki se razreši na naslov, ki ga nihče ne posreduje.
Izberite naslov po storitvi, ne po oznaki
Zapišite, kaj mora strežnik narediti, preden izberete številko. Odhodni klici API potrebujejo stabilen izhod, ko druga stran vodi seznam dovoljenih. Zasebni dostop potrebuje naslov tunela, na katerega lahko odjemalci usmerjajo, in poslušalca, vezanega nanj. Javno gostovanje potrebuje vhodno preslikavo, ki jo ponudnik resnično ponuja, in sam izhodni naslov tega ne zagotovi.
En stroj lahko služi vsem trem namenom in še vedno uporablja tri različne naslove. Kar se zlomi, je predpostavka, da ena vrednost pokriva vse:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Vhodna vrstica je tista, o kateri se ljudje prepirajo. Zapis, ki kaže na izhodni naslov, ne ustvari poslušalca, odprtine požarnega zidu ali preslikave vrat, in čakanje tega ne spremeni. Ko ponudnik prodaja namenski naslov skupaj z vhodnim pravilom, je ta paket zmožnost, ki ste jo kupili; naslov sam po sebi ni pravica.
Ukazi, ki pokažejo, kateri naslov je kateri
Berite stroj, ne ploščo. Imena vmesnikov se med sistemi razlikujejo, zato povežite naslove z napravami, namesto da zaupate oznaki.
Prva vrstica našteje vsak naslov IPv4 in njegovo napravo, druga pa vpraša jedro, katero napravo bi uporabilo za znani zunanji cilj:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Če iskanje poti odgovori s tunelsko napravo za javni promet, je vaš polni tunel v veljavi. Preverjanje poslušalca je enako pomembno, ker proces, vezan samo na 127.0.0.1, ne bo nikoli odgovoril na naslovu tunela, ne glede na ime, ki ga objavite.
Objavite jo in nato preverite od zunaj
Objavite vrednost, ki jo storitev potrebuje, in nič več: zapis A ali AAAA za gostovanje, vnos na seznamu dovoljenih za odhodne klice, profil odjemalca za zasebni dostop. Nato preizkusite s položaja, ki je pomemben, in to nikoli ni stroj, ki ste ga pravkar uredili.
Dva pregleda pokrijeta večino in oba sta dovolj poceni, da ostaneta v skriptu:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthOdgovor DNS, ki dokazuje, da vaš zapis obstaja, ni dokaz, da zahteva prispe, in ena uspešna zahteva dokazuje le, da ena pot deluje z enega omrežja. Ponovite pregled prek mobilne povezave, ko je v igri seznam dovoljenih, ker je izhod, ki ga opazujete, lahko odvisen od družine naslovov in izbrane poti. Zabeležite, katero družino ste potrdili; delujoča pot IPv4 ne pove o IPv6 prav ničesar.
Če je storitev vhodna, izhodni naslov ne zadostuje
Vhodni dostop potrebuje štiri stvari v isti liniji: ime ali naslov, do katerega odjemalec pride, pot, ki paket dostavi stroju, poslušalca, ki ga sprejme, in politiko, ki ga ne zavrže. VPN spremeni drugi element in včasih prvega, za tretjega in četrtega pa ne naredi ničesar. Ko je tunel pot dostave, se odjemalci povežejo na naslov tunela, ne na izhod.
Zabeležite, od katerega naslova je odvisna katera storitev, in to beležko znova pregledajte vsakič, ko ponudnik spremeni svoj model usmerjanja. Strežnik, ki odgovarja zasebno in spodleti javno, običajno ni pokvarjen; odgovarja pod napačno identiteto, popravek pa je odločitev o preslikavi in ne sprememba požarnega zidu.