Јавни префикс за VPN клијенте: шта он заправо квари

Базен клијената изабран зато што бројеви изгледају уредно је рута која чека да буде инсталирана. Префикс не мора бити приватан да би VPN радио, а коришћење блока који припада неком другом такође не излаже ваше кориснике интернету аутоматски. Оно што ради јесте да ти адресе значе нешто друго док је тунел подигнут, а затим поново нешто друго када падне. Прођите кроз пет провера испод по реду и зауставите се тамо где је одговор „додељено негде другде“.

Додела није објава

Стављање адресе на интерфејс тунела не објављује је на интернету. Јавна доступност захтева руту, овлашћену путању и провајдера вољног да је носи, и ништа од тога се не појављује зато што је клијент добио адресу из базена. Политика заштитног зида и ауторизација хоста су опет одвојене одлуке.

Зато ризик није оно што већина претпоставља. Позајмљени префикс не чини ваше клијенте доступним; чини одредишта неког другог недоступним са ваших клијената, што је другачији квар са другачијим власником. Нико није нападнут и ниједна објава не излази. Корисник једноставно не може да отвори сајт који је јуче радио, а подршка нема разлога да сумња на VPN базен.

Разлика је важна када бирате базен. Да је једина брига била излагање интернету, јавни блок би изгледао безбедно јер га ништа не објављује. Брига је локална рута коју клијент инсталира за тај префикс, и та рута се инсталира без обзира на то да ли је неко други види.

Шта рута клијента заправо захвата

Када се тунел подигне, клијент добија руту за префикс базена, и та рута побеђује подразумевану руту за свако одредиште унутар ње. Захтев ка легитимном хосту у том блоку сада иде ка VPN-у уместо ка интернету. Да ли ће пропасти, висити или стићи на погрешан сервер зависи од тога шта ваша страна ради са њим.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Покрените претрагу са подигнутим тунелом и поново са спуштеним. Адреса значи једно у првом случају и нешто сасвим друго у другом, и свака апликација која је кеширала везу или резолуцију имена кроз тај прелаз понашаће се неконзистентно. Ту неконзистентност је теже подржавати од чистог квара, јер зависи од времена. Корисник који се поново повеже у погрешном тренутку добија другачије искуство од оног који то не чини.

Зато ни позната IP адреса није доказ идентитета. Задржите проверу сертификата и имена сервера за стварно одредиште, јер бројчана адреса до које сте стигли пре пет минута сада може припадати другом разговору.

Упоредите базен са сваком мрежом коју познајете

RFC 1918 издваја три блока за приватну употребу: 192.168.0.0/16, 172.16.0.0/12 и 10.0.0.0/8. Милиони одвојених организација их поново користе, па је приватно изјава о додели и никада обећање да нико други није изабрао исте бројеве.

Упоредите кандидат-базен са канцеларијским LAN мрежама, облачним VPC-има, другим VPN базенима, партнерским везама и опсезима које удаљени радници вероватно имају код куће. Кућни случај није разлог да измислите чудан префикс; то је разлог да базен остане мали и документован.

Ускладите доделу са оним ко поседује рутирање и запишите повратни пут на истом месту. Базен ка ком нико не може да рутира назад је базен који ће бити поново откривен током прекида. Ставите базен у исти документ као опсеге локација, а не у конфигурацију клијента коју је уређивала само једна особа. Документ је оно што следећи судар чини избежљивим.

Када је јавно адресирање прави одговор

Организације са исправно додељеним глобалним простором могу слободно да изграде VPN базен са јавним адресама, а неке то раде намерно да би избегле превод. Тај дизајн и даље захтева рутирање, валидацију извора, правила приступа и аутентикацију клијената; додела не даје ништа од тога.

Оно што даје јесте јединственост, својство које позајмљеном префиксу недостаје. Ако поседујете блок, рута коју ваш клијент инсталира показује на адресе које су заиста ваше, а значење се не мења када тунел падне.

Не додајте NAT аутоматски да бисте надокнадили избор базена. Рутирани приватни дизајн са експлицитним повратним рутама је чистији од превода примењеног зато што адресирање никада није планирано, а IPv6 захтева сопствени намерни план, а не копију претпоставки IPv4.

Повуците лош базен без губитка приступа

Ако је базен већ распоређен, направите попис пре него што га промените: резервације адреса, инсталиране руте, DNS записе који се резолвирају у блок, опсеге заштитног зида и апликације које од њих зависе. Затим закажите промену са истом пажњом као сваки други прелаз рутирања. Објавите је људима који ће то приметити, јер ће њихове сесије пасти када се базен премести. Тиха промена адресирања клијената ствара захтеве за подршку који изгледају неповезано с послом.

Сачувајте пут опоравка који не зависи од базена који уклањате, јер тренутак када га повучете је тренутак када ваш удаљени приступ може нестати с њим. Затим проверите оба смера: предвиђена приватна одредишта још раде, а интернет одредишта која су раније хватана сада се резолвирају ка својим правим власницима.

Желите базен који мрежни тим може да додели, рутира и повуче као једну кожерентну ствар. Формат адресе сам по себи не успоставља ни безбедност ни повезаност.