คำนำหน้าสาธารณะสำหรับไคลเอนต์ VPN: อะไรที่มันทำลายจริง ๆ

พูลไคลเอนต์ที่เลือกเพราะตัวเลขดูเรียบร้อยคือเส้นทางที่รอการติดตั้ง คำนำหน้าไม่จำเป็นต้องเป็นส่วนตัวเพื่อให้ VPN ทำงาน และการใช้บล็อกที่เป็นของคนอื่นก็ไม่ได้เปิดเผยผู้ใช้ของคุณสู่อินเทอร์เน็ตโดยอัตโนมัติ สิ่งที่มันทำคือทำให้ที่อยู่เหล่านั้นมีความหมายอื่นตราบใดที่อุโมงค์ยังขึ้นอยู่ แล้วก็มีความหมายอื่นอีกครั้งเมื่ออุโมงค์ล่ม ทำการตรวจสอบทั้งห้าข้อด้านล่างตามลำดับและหยุดตรงที่คำตอบคือ «จัดสรรไว้ที่อื่น»

การจัดสรรไม่ใช่การประกาศ

การใส่ที่อยู่บนอินเทอร์เฟซอุโมงค์ไม่ได้ประกาศที่อยู่นั้นสู่อินเทอร์เน็ต การเข้าถึงจากภายนอกต้องมีเส้นทาง เส้นทางที่ได้รับอนุญาต และผู้ให้บริการที่ยินดีรับส่ง และไม่มีสิ่งใดเกิดขึ้นเพราะไคลเอนต์ได้รับที่อยู่จากพูล นโยบายไฟร์วอลล์และการอนุญาตโฮสต์ก็เป็นการตัดสินใจแยกต่างหากอีกเช่นกัน

นั่นคือเหตุผลที่ความเสี่ยงไม่ใช่สิ่งที่คนส่วนใหญ่คิด คำนำหน้าที่ถูกยืมมาไม่ได้ทำให้ไคลเอนต์ของคุณเข้าถึงได้ มันทำให้ปลายทางของคนอื่นเข้าถึงไม่ได้จากไคลเอนต์ของคุณ ซึ่งเป็นความล้มเหลวอีกแบบที่มีเจ้าของอีกคน ไม่มีใครถูกโจมตีและไม่มีการประกาศหลุดออกไป ผู้ใช้เพียงแค่เปิดเว็บไซต์ที่เมื่อวานยังใช้ได้ไม่ได้ และฝ่ายช่วยเหลือก็ไม่มีเหตุให้สงสัยพูล VPN

ความแตกต่างนี้สำคัญเมื่อคุณเลือกพูล หากความกังวลเดียวของคุณคือการเปิดเผยสู่อินเทอร์เน็ต บล็อกสาธารณะก็ดูปลอดภัยเพราะไม่มีอะไรประกาศมัน ความกังวลคือเส้นทางภายในที่ไคลเอนต์ติดตั้งสำหรับคำนำหน้านั้น และเส้นทางนั้นถูกติดตั้งไม่ว่าคนอื่นจะมองเห็นหรือไม่

เส้นทางของไคลเอนต์ดักอะไรจริง ๆ

เมื่ออุโมงค์ขึ้น ไคลเอนต์ได้รับเส้นทางสำหรับคำนำหน้าของพูล และเส้นทางนั้นชนะเส้นทางเริ่มต้นสำหรับทุกปลายทางภายใน คำขอไปยังโฮสต์ที่ถูกต้องในบล็อกนั้นตอนนี้ไปที่ VPN แทนที่จะไปอินเทอร์เน็ต จะล้มเหลว ค้าง หรือไปถึงเซิร์ฟเวอร์ผิด ขึ้นอยู่กับว่าฝั่งของคุณทำอะไรกับมัน

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

รันการค้นหาด้วยอุโมงค์ที่ขึ้นอยู่ แล้วรันอีกครั้งเมื่ออุโมงค์ลง ที่อยู่มีความหมายหนึ่งในกรณีแรกและอีกอย่างหนึ่งโดยสิ้นเชิงในกรณีที่สอง และแอปพลิเคชันใดที่แคชการเชื่อมต่อหรือการแปลงชื่อข้ามการเปลี่ยนผ่านนั้นจะทำงานไม่สม่ำเสมอ ความไม่สม่ำเสมอนั้นสนับสนุนได้ยากกว่าความล้มเหลวที่สะอาด เพราะมันขึ้นอยู่กับเวลา ผู้ใช้ที่เชื่อมต่อใหม่ในจังหวะที่ผิดจะได้ประสบการณ์ต่างจากผู้ที่ไม่ได้ทำ

นั่นก็เป็นเหตุผลที่ที่อยู่ IP ที่คุ้นเคยไม่ใช่หลักฐานยืนยันตัวตน รักษาการตรวจสอบใบรับรองและชื่อเซิร์ฟเวอร์ไว้สำหรับปลายทางจริง เพราะที่อยู่ตัวเลขที่คุณไปถึงเมื่อห้านาทีก่อนอาจเป็นของบทสนทนาอื่นในตอนนี้

เปรียบเทียบพูลกับทุกเครือข่ายที่คุณรู้จัก

RFC 1918 กันสามบล็อกไว้สำหรับการใช้งานส่วนตัว: 192.168.0.0/16, 172.16.0.0/12 และ 10.0.0.0/8 องค์กรแยกกันหลายล้านแห่งนำกลับมาใช้ซ้ำ ดังนั้นคำว่าส่วนตัวจึงเป็นข้อความเกี่ยวกับการจัดสรร และไม่เคยเป็นคำสัญญาว่าไม่มีใครเลือกตัวเลขเดียวกัน

เปรียบเทียบพูลที่เป็นตัวเลือกกับ LAN ของสำนักงาน, VPC บนคลาวด์, พูล VPN อื่น, ลิงก์ของพันธมิตร และช่วงที่พนักงานทางไกลมีอยู่ที่บ้าน กรณีที่บ้านไม่ใช่เหตุผลในการประดิษฐ์คำนำหน้าแปลก ๆ แต่เป็นเหตุผลในการทำให้พูลเล็กและมีเอกสารกำกับ

ประสานการจัดสรรกับผู้ที่เป็นเจ้าของการกำหนดเส้นทาง และบันทึกเส้นทางขากลับไว้ที่เดียวกัน พูลที่ไม่มีใครกำหนดเส้นทางกลับได้คือพูลที่จะถูกค้นพบอีกครั้งระหว่างเหตุขัดข้อง ใส่พูลไว้ในเอกสารเดียวกับช่วงของไซต์ ไม่ใช่ในการกำหนดค่าไคลเอนต์ที่มีคนเดียวแก้ไข เอกสารคือสิ่งที่ทำให้การชนกันครั้งต่อไปหลีกเลี่ยงได้

เมื่อใดการกำหนดที่อยู่สาธารณะจึงเป็นคำตอบที่ถูกต้อง

องค์กรที่มีพื้นที่ทั่วโลกที่จัดสรรอย่างถูกต้องสามารถสร้างพูล VPN ที่ใช้ที่อยู่สาธารณะได้อย่างแน่นอน และบางแห่งทำเช่นนั้นโดยเจตนาเพื่อหลีกเลี่ยงการแปลงที่อยู่ การออกแบบนั้นยังต้องมีการกำหนดเส้นทาง การตรวจสอบต้นทาง กฎการเข้าถึง และการยืนยันตัวตนไคลเอนต์ การจัดสรรไม่ได้ให้สิ่งเหล่านั้นเลย

สิ่งที่มันให้คือความเป็นเอกลักษณ์ คุณสมบัติที่คำนำหน้าที่ถูกยืมมาขาดไป หากคุณถือบล็อกนั้น เส้นทางที่ไคลเอนต์ของคุณติดตั้งจะชี้ไปที่ที่อยู่ที่เป็นของคุณจริง ๆ และความหมายไม่เปลี่ยนเมื่ออุโมงค์ล่ม

อย่าเพิ่ม NAT โดยอัตโนมัติเพื่อชดเชยการเลือกพูล การออกแบบส่วนตัวที่มีการกำหนดเส้นทางและเส้นทางขากลับชัดเจนนั้นสะอาดกว่าการแปลงที่ใช้เพราะไม่เคยมีการวางแผนที่อยู่ และ IPv6 ต้องการแผนที่ตั้งใจของตัวเองไม่ใช่สำเนาของสมมติฐาน IPv4

ปลดระวางพูลที่ไม่ดีโดยไม่สูญเสียการเข้าถึง

หากพูลถูกใช้งานแล้ว ให้ทำบัญชีก่อนเปลี่ยนแปลง: การจองที่อยู่ เส้นทางที่ติดตั้งแล้ว ระเบียน DNS ที่แปลงเข้าบล็อก ขอบเขตไฟร์วอลล์ และแอปพลิเคชันที่พึ่งพา จากนั้นกำหนดเวลาการเปลี่ยนแปลงด้วยความรอบคอบเช่นเดียวกับการสลับเส้นทางอื่นใด ประกาศให้คนที่จะสังเกตเห็น เพราะเซสชันของพวกเขาจะหลุดเมื่อพูลย้าย การเปลี่ยนแปลงที่อยู่ไคลเอนต์อย่างเงียบ ๆ ทำให้เกิดตั๋วสนับสนุนที่ดูเหมือนไม่เกี่ยวข้องกับงาน

รักษาเส้นทางการกู้คืนที่ไม่ขึ้นกับพูลที่คุณกำลังถอดออก เพราะช่วงเวลาที่คุณถอนมันคือช่วงเวลาที่การเข้าถึงระยะไกลของคุณอาจหายไปด้วย จากนั้นตรวจสอบทั้งสองทิศทาง: ปลายทางส่วนตัวที่ตั้งใจไว้ยังทำงานอยู่ และปลายทางอินเทอร์เน็ตที่เคยถูกดักไว้ตอนนี้แปลงไปยังเจ้าของที่แท้จริง

สิ่งที่คุณต้องการคือพูลที่ทีมเครือข่ายสามารถจัดสรร กำหนดเส้นทาง และปลดระวางได้เป็นสิ่งเดียวที่สอดคล้องกัน รูปแบบที่อยู่เพียงอย่างเดียวไม่ได้สร้างทั้งความปลอดภัยและการเชื่อมต่อ