Isang pampublikong prefix para sa mga kliyente ng VPN: ano ang talagang sinisira nito

Ang isang pool ng kliyente na pinili dahil mukhang maayos ang mga numero ay isang rutang naghihintay na ma-install. Ang prefix ay hindi kailangang maging pribado para gumana ang VPN, at ang paggamit ng bloke na pag-aari ng iba ay hindi rin awtomatikong naglalantad sa iyong mga gumagamit sa internet. Ang ginagawa nito ay gawing iba ang kahulugan ng mga address na iyon habang nakaangat ang tunel, at pagkatapos ay iba na naman kapag bumagsak ito. Dumaan sa limang pagsusuri sa ibaba nang sunod-sunod at huminto kung saan ang sagot ay «inilaan sa ibang lugar».

Ang paglalaan ay hindi pagpapahayag

Ang paglalagay ng address sa isang interface ng tunel ay hindi ito ipinapahayag sa internet. Ang pampublikong maabot ay nangangailangan ng ruta, awtorisadong landas at tagapagbigay na handang magdala nito, at wala sa mga iyon ang lumilitaw dahil nakatanggap ng address ang isang kliyente mula sa pool. Ang patakaran ng firewall at awtorisasyon ng host ay magkahiwalay na desisyon muli.

Iyon ang dahilan kung bakit ang panganib ay hindi ang inaakala ng karamihan. Ang hiniram na prefix ay hindi ginagawang maabot ang iyong mga kliyente; ginagawa nitong hindi maabot ang mga destinasyon ng iba mula sa iyong mga kliyente, na isang ibang pagkabigo na may ibang may-ari. Walang inaatake at walang pahayag na tumatakas. Ang isang gumagamit ay simpleng hindi mabuksan ang isang site na gumana kahapon, at walang dahilan ang helpdesk na maghinala sa pool ng VPN.

Mahalaga ang pagkakaibang ito kapag pumipili ka ng pool. Kung ang tanging alalahanin mo ay ang pagkakalantad sa internet, ang pampublikong bloke ay mukhang ligtas dahil walang nagpapahayag nito. Ang alalahanin ay ang lokal na ruta na ini-install ng kliyente para sa prefix na iyon, at ang rutang iyon ay naka-install maging makita man ito ng iba o hindi.

Ano ang talagang hinuhuli ng ruta ng kliyente

Kapag umaangat ang tunel, tumatanggap ang kliyente ng ruta para sa prefix ng pool, at ang rutang iyon ay nananalo sa default na ruta para sa bawat destinasyon sa loob nito. Ang kahilingan sa isang lehitimong host sa bloke na iyon ay pupunta na ngayon sa VPN kaysa sa internet. Kung ito ay mabibigo, mabibitay o makakarating sa maling server ay nakasalalay sa ginagawa ng iyong panig dito.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Patakbuhin ang paghahanap na nakaangat ang tunel at muli na nakababa ito. Ang address ay nangangahulugan ng isang bagay sa unang kaso at ganap na iba sa pangalawa, at anumang aplikasyon na nag-cache ng koneksyon o resolusyon ng pangalan sa paglipat na iyon ay kikilos nang hindi pare-pareho. Ang hindi pagkakapareho ay mas mahirap suportahan kaysa sa malinis na pagkabigo, dahil nakasalalay ito sa oras. Ang gumagamit na muling kumonekta sa maling sandali ay may ibang karanasan kaysa sa hindi.

Iyon din ang dahilan kung bakit ang pamilyar na IP address ay hindi patunay ng pagkakakilanlan. Panatilihin ang pagpapatunay ng sertipiko at pangalan ng server para sa tunay na destinasyon, dahil ang numerikong address na naabot mo limang minuto ang nakalipas ay maaaring pag-aari na ngayon ng ibang pag-uusap.

Ihambing ang pool sa bawat network na alam mo

RFC 1918 ay naglalaan ng tatlong bloke para sa pribadong paggamit: 192.168.0.0/16, 172.16.0.0/12 at 10.0.0.0/8. Milyun-milyong hiwalay na organisasyon ang muling gumagamit sa mga ito, kaya ang pribado ay isang pahayag tungkol sa paglalaan at hindi kailanman pangako na walang ibang pumili ng parehong mga numero.

Ihambing ang kandidatong pool sa mga LAN ng opisina, mga VPC sa cloud, iba pang pool ng VPN, mga link ng kasosyo at mga saklaw na malamang na mayroon ang mga malayuang manggagawa sa bahay. Ang kaso sa bahay ay hindi dahilan upang mag-imbento ng kakaibang prefix; ito ay dahilan upang panatilihing maliit at dokumentado ang pool.

I-coordinate ang paglalaan sa nagmamay-ari ng routing, at itala ang pabalik na landas sa parehong lugar. Ang pool na walang makapag-route pabalik ay pool na muling matutuklasan sa panahon ng pagkawala. Ilagay ang pool sa parehong dokumento ng mga saklaw ng site, hindi sa isang configuration ng kliyente na isang tao lamang ang nag-edit. Ang dokumento ang gumagawa sa susunod na banggaan na maiiwasan.

Kailan ang pampublikong addressing ang tamang sagot

Ang mga organisasyong may wastong inilaang pandaigdigang espasyo ay makakabuo ng pool ng VPN na may pampublikong address, at ang ilan ay sadyang ginagawa ito upang maiwasan ang pagsasalin. Ang disenyong iyon ay nangangailangan pa rin ng routing, pagpapatunay ng pinagmulan, mga patakaran sa pag-access at pagpapatunay ng kliyente; wala sa mga ito ang ibinibigay ng paglalaan.

Ang ibinibigay nito ay pagiging natatangi, ang katangiang kulang sa hiniram na prefix. Kung ikaw ang may-ari ng bloke, ang rutang ini-install ng iyong kliyente ay tumuturo sa mga address na tunay na sa iyo, at hindi nagbabago ang kahulugan kapag bumagsak ang tunel.

Huwag magdagdag ng NAT nang awtomatiko upang mabayaran ang pagpili ng pool. Ang naka-route na pribadong disenyo na may malinaw na pabalik na ruta ay mas malinis kaysa sa pagsasalin na inilalapat dahil hindi kailanman naplano ang addressing, at ang IPv6 ay nangangailangan ng sarili nitong sadyang plano kaysa sa kopya ng mga palagay ng IPv4.

Iretiro ang masamang pool nang hindi nawawala ang access

Kung naka-deploy na ang pool, gumawa ng imbentaryo bago mo ito baguhin: mga reserbasyon ng address, naka-install na ruta, mga rekord ng DNS na nagreresolba sa bloke, mga saklaw ng firewall at ang mga aplikasyong umaasa sa mga ito. Pagkatapos ay iiskedyul ang pagbabago nang may parehong pag-iingat tulad ng anumang iba pang paglipat ng routing. Ipahayag ito sa mga taong makakapansin, dahil babagsak ang kanilang mga session kapag gumalaw ang pool. Ang tahimik na pagbabago sa addressing ng kliyente ay gumagawa ng mga tiket sa suporta na tila walang kaugnayan sa trabaho.

Panatilihin ang landas ng pagbawi na hindi nakadepende sa pool na inaalis mo, dahil ang sandaling iurong mo ito ay ang sandaling maaaring mawala ang iyong malayuang access kasama nito. Pagkatapos ay patunayan ang parehong direksyon: gumagana pa rin ang mga inilaan na pribadong destinasyon, at ang mga destinasyong internet na dating nahuli ay nagreresolba na ngayon sa kanilang tunay na may-ari.

Ang gusto mo ay isang pool na maaaring ilaan, i-route at iretiro ng team ng network bilang isang magkakaugnay na bagay. Ang format ng address lamang ay hindi nagtatatag ng kaligtasan o konektibidad.