Një prefiks publik për klientët VPN: çfarë thyen në të vërtetë

Një grup klientësh i zgjedhur sepse numrat duken të rregullt është një rrugë që pret të instalohet. Prefiksi nuk duhet të jetë privat që VPN-i të funksionojë, dhe përdorimi i një blloku që i përket dikujt tjetër gjithashtu nuk i ekspozon automatikisht përdoruesit tuaj në internet. Ajo që bën është t'i bëjë këto adresa të nënkuptojnë diçka tjetër për sa kohë tuneli është lart, dhe më pas përsëri diçka tjetër kur ai bie. Kaloni pesë kontrollet më poshtë sipas radhës dhe ndaloni aty ku përgjigjja është «caktuar diku tjetër».

Caktimi nuk është shpallje

Vendosja e një adrese në një ndërfaqe tuneli nuk e shpall atë në internet. Arritshmëria publike kërkon një rrugë, një shteg të autorizuar dhe një ofrues të gatshëm për ta mbajtur, dhe asnjëra prej tyre nuk shfaqet sepse një klient mori adresën nga një grup. Politika e firewall-it dhe autorizimi i hostit janë përsëri vendime të veçanta.

Kjo është arsyeja pse rreziku nuk është ai që supozojnë shumica. Prefiksi i huazuar nuk i bën klientët tuaj të arritshëm; i bën destinacionet e dikujt tjetër të paarritshme nga klientët tuaj, që është një dështim tjetër me një pronar tjetër. Askush nuk sulmohet dhe asnjë shpallje nuk ikën. Përdoruesi thjesht nuk mund të hapë një faqe që funksiononte dje, dhe ndihma nuk ka arsye të dyshojë grupin e VPN-it.

Dallimi ka rëndësi kur zgjidhni një grup. Nëse shqetësimi i vetëm do të ishte ekspozimi në internet, një bllok publik do të dukej i sigurt sepse asgjë nuk e shpall. Shqetësimi është rruga lokale që klienti instalon për atë prefiks, dhe ajo rrugë instalohet pavarësisht nëse dikush tjetër mund ta shohë.

Çfarë kap në të vërtetë rruga e klientit

Kur tuneli ngrihet, klienti merr një rrugë për prefiksin e grupit, dhe ajo rrugë mund rrugën e paracaktuar për çdo destinacion brenda saj. Një kërkesë drejt një hosti legjitim në atë bllok tani shkon në VPN në vend të internetit. Nëse dështon, ngec ose arrin në serverin e gabuar varet nga ajo që bën ana juaj me të.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Zbatoni kërkimin me tunelin lart dhe përsëri me të ulët. Adresa nënkupton një gjë në rastin e parë dhe diçka krejt tjetër në të dytin, dhe çdo aplikacion që ka ruajtur një lidhje ose një zgjidhje emri gjatë asaj tranzicioni do të sillet në mënyrë jokonsistente. Ajo jokonsistencë është më e vështirë për t'u mbështetur sesa një dështim i pastër, sepse varet nga koha. Një përdorues që rilidhet në momentin e gabuar ka një përvojë të ndryshme nga ai që nuk e bën.

Kjo është edhe arsyeja pse një adresë IP e njohur nuk është provë identiteti. Mbani validimin e certifikatës dhe të emrit të serverit për destinacionin e vërtetë, sepse adresa numerike ku arritët pesë minuta më parë tani mund t'i përkasë një bisede tjetër.

Krahasojeni grupin me çdo rrjet që njihni

RFC 1918 rezervon tre blloqe për përdorim privat: 192.168.0.0/16, 172.16.0.0/12 dhe 10.0.0.0/8. Miliona organizata të veçanta i ripërdorin, prandaj privat është një deklaratë për caktimin dhe kurrë një premtim se askush tjetër nuk zgjodhi të njëjtat numra.

Krahasojeni grupin kandidat me LAN-et e zyrës, VPC-të e cloud-it, grupet e tjera të VPN-it, lidhjet e partnerëve dhe intervalet që punonjësit në distancë ka gjasa t'i kenë në shtëpi. Rasti i shtëpisë nuk është arsye për të shpikur një prefiks të çuditshëm; është arsye për ta mbajtur grupin të vogël dhe të dokumentuar.

Koordinoni caktimin me atë që zotëron rrugëtimin dhe regjistroni rrugën e kthimit në të njëjtin vend. Një grup drejt të cilit askush nuk mund të rrugëtojë mbrapsht është një grup që do të rizbulohet gjatë një ndërprerjeje. Vendoseni grupin në të njëjtin dokument si intervalet e faqeve, jo në një konfigurim klienti që ka redaktuar vetëm një person. Dokumenti është ai që e bën përplasjen tjetër të shmangshme.

Kur adresimi publik është përgjigjja e duhur

Organizatat me hapësirë globale të caktuar si duhet mund të ndërtojnë plotësisht një grup VPN me adresa publike, dhe disa e bëjnë këtë qëllimisht për të shmangur përkthimin. Ai dizajn ende kërkon rrugëtim, validim burimi, rregulla aksesi dhe autentikim klienti; caktimi nuk ofron asnjërën prej tyre.

Ajo që ofron është unike, vetia që prefiksit të huazuar i mungon. Nëse e zotëroni bllokun, rruga që instalon klienti juaj tregon adresa që janë vërtet tuajat, dhe kuptimi nuk ndryshon kur tuneli bie.

Mos shtoni NAT automatikisht për të kompensuar një zgjedhje grupi. Një dizajn privat i rrugëtuar me rrugë kthimi të qarta është më i pastër se një përkthim i aplikuar sepse adresimi nuk u planifikua kurrë, dhe IPv6 ka nevojë për planin e vet të qëllimshëm në vend të një kopjeje të supozimeve të IPv4.

Tërhiqni një grup të keq pa humbur aksesin

Nëse grupi është tashmë i vendosur, bëni një inventar para se ta ndryshoni: rezervimet e adresave, rrugët e instaluara, regjistrimet DNS që zgjidhen në bllok, shtrirjet e firewall-it dhe aplikacionet që varen prej tyre. Pastaj planifikoni ndryshimin me të njëjtin kujdes si çdo tranzicion tjetër i rrugëtimit. Shpallni atyre që do ta vërejnë, sepse sesionet e tyre do të bien kur grupi të lëvizë. Një ndryshim i heshtur i adresimit të klientëve gjeneron biletat e mbështetjes që duken të palidhura me punën.

Ruani një rrugë rikuperimi që nuk varet nga grupi që po hiqni, sepse momenti kur e tërhiqni është momenti kur aksesi juaj në distancë mund të zhduket bashkë me të. Më pas validoni të dy drejtimet: destinacionet private të synuara ende funksionojnë, dhe destinacionet e internetit që kapë shumë më parë tani zgjidhen te pronarët e tyre të vërtetë.

Ajo që dëshironi është një grup që ekipi i rrjetit mund ta caktojë, ta rrugëtojë dhe ta tërheqë si një gjë të vetme koherente. Një format adrese në vetvete nuk vendos as siguri as lidhje.