Која адреса иде у DNS за сервер повезан преко VPN-а?
Хостовани сервер држи три адресе и оне нису замењиве. Изаберите вредност која је потребна свакој услузи, а затим је потврдите изван машине.
Хостовани сервер са инсталираним VPN-ом на крају држи три адресе, а само једна од њих припада сваком месту које управо конфигуришете. Копирање броја из панела добављача у DNS, у слушаоца или у листу дозвола је начин на који радни тунел постаје услуга до које нико не може да стигне. Овај приручник уређује посао тако да се свака адреса изабере за наведену сврху. Такође наводи команде које потврђују шта сте заиста објавили.
Мапирајте три адресе пре него што било шта објавите
Назовите их по функцији. Underlay адреса је оно што машина користи да стигне до крајње тачке VPN-а преко интернета и често је приватна иза NAT-а добављача. Адреса тунела живи унутар VPN-а и додељује је сервер или клијент у зависности од производа. Јавни излаз је адреса коју удаљени сајт бележи после превода, и не мора да постоји ни на једном интерфејсу који можете да упитате.
Панел који приказује једну јавну адресу за машину говори вам веома мало о друге две улоге. Доступност underlay-а је захтев, а не куповина: преносни рачунар иза кућног рутера може да стигне до хостоване крајње тачке VPN-а без поседовања јавне IPv4 адресе. Оно што не можете јесте да измислите улазну путању писањем имена које се разрешава на адресу коју нико не прослеђује.
Изаберите адресу по услузи, а не по ознаци
Запишите шта сервер мора да ради пре него што изаберете број. Одлазни API позиви захтевају стабилан излаз када друга страна води листу дозвола. Приватни приступ захтева адресу тунела ка којој клијенти могу да усмеравају и слушаоца везаног за њу. Јавно хостовање захтева улазно мапирање које добављач заиста нуди, а сама излазна адреса то не пружа.
Једна машина може да служи све три сврхе и да ипак користи три различите адресе. Оно што се ломи јесте претпоставка да једна вредност покрива све њих:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Улазни ред је онај о коме људи расправљају. Запис који показује на излазну адресу не ствара слушаоца, отварање заштитног зида ни мапирање порта, и чекање то не мења. Када добављач продаје наменску адресу заједно са улазним правилом, тај пакет је способност коју сте купили; сама адреса није право.
Команде које показују која је адреса која
Читајте машину, а не панел. Имена интерфејса се разликују између система, зато повежите адресе са уређајима уместо да верујете ознаци.
Први ред наводи сваку IPv4 адресу и њен уређај, а други пита језгро који би уређај користило за познато спољно одредиште:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Ако претрага руте одговори уређајем тунела за јавни саобраћај, ваш пуни тунел је на снази. Провера слушаоца је исто толико важна, јер процес везан само за 127.0.0.1 никада неће одговорити на адреси тунела, које и име да објавите.
Објавите је, па проверите споља
Објавите вредност која је услузи потребна и ништа више: запис A или AAAA за хостовање, запис у листи дозвола за одлазне позиве, профил клијента за приватни приступ. Затим тестирајте са позиције која је важна, а то никада није машина коју сте управо уредили.
Две провере покривају већину, и обе су довољно јефтине да остану у скрипти:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS одговор који доказује да ваш запис постоји није доказ да захтев стиже, а један успешан захтев доказује само да једна путања ради из једне мреже. Поновите проверу преко мобилне везе када је укључена листа дозвола, јер излаз који посматрате може да зависи од породице адреса и изабране руте. Забележите коју сте породицу потврдили; радна путања IPv4 не говори баш ништа о IPv6.
Ако је услуга улазна, излазна адреса није довољна
Улазни приступ захтева четири ствари поређане: име или адресу до које клијент може да стигне, руту која доставља пакет машини, слушаоца који га прихвата и политику која га не одбацује. VPN мења други елемент и понекад први, а за трећи и четврти не чини ништа. Када је тунел пут доставе, клијенти се повезују на адресу тунела, а не на излаз.
Забележите од које адресе зависи која услуга, па прегледајте ту белешку сваки пут када добављач промени свој модел усмеравања. Сервер који одговара приватно и затаји јавно обично није покварен; он одговара под погрешним идентитетом, а поправка је одлука о мапирању, а не промена заштитног зида.