VPN istemcileri için genel bir önek: gerçekte neyi bozar

Sayılar düzenli göründüğü için seçilen bir istemci havuzu, kurulmayı bekleyen bir yoldur. Önekin VPN'in çalışması için özel olması gerekmez ve başkasına ait bir bloğu kullanmak da kullanıcılarınızı otomatik olarak internete açmaz. Yaptığı şey, tünel ayaktayken bu adreslerin başka bir anlama gelmesini, ardından tünel düştüğünde yine başka bir anlama gelmesini sağlamaktır. Aşağıdaki beş kontrolü sırayla yapın ve yanıtın «başka yerde tahsis edilmiş» olduğu yerde durun.

Tahsis duyuru değildir

Bir adresi tünel arayüzüne koymak onu internete duyurmaz. Genel erişilebilirlik bir yol, yetkili bir güzergâh ve onu taşımaya istekli bir sağlayıcı gerektirir ve bunların hiçbiri bir istemci adresi havuzdan aldığı için ortaya çıkmaz. Güvenlik duvarı politikası ve ana bilgisayar yetkilendirmesi yine ayrı kararlardır.

Bu yüzden risk çoğu insanın varsaydığı şey değildir. Ödünç alınan önek istemcilerinizi erişilebilir yapmaz; başkasının hedeflerini sizin istemcilerinizden erişilemez yapar, bu da farklı bir sahibi olan farklı bir arızadır. Kimse saldırıya uğramaz ve hiçbir duyuru dışarı sızmaz. Kullanıcı dün çalışan bir siteyi açamaz ve yardım masasının VPN havuzundan şüphelenmek için bir nedeni yoktur.

Havuz seçerken bu ayrım önemlidir. Tek endişeniz internete açılmak olsaydı, genel bir blok güvenli görünürdü çünkü hiçbir şey onu duyurmaz. Endişe, istemcinin o önek için kurduğu yerel yoldur ve bu yol başka biri görsün görmesin kurulur.

İstemci yolu gerçekte neyi yakalar

Tünel kalktığında istemci havuzun öneki için bir yol alır ve bu yol, içindeki her hedef için varsayılan yolu yener. O bloktaki meşru bir ana bilgisayara yapılan istek artık internet yerine VPN'e gider. Başarısız mı olur, takılır mı yoksa yanlış sunucuya mı varır, sizin tarafınızın onunla ne yaptığına bağlıdır.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Aramayı tünel ayaktayken ve tekrar inmişken çalıştırın. Adres ilk durumda bir anlam taşır, ikincisinde tamamen başka bir anlam, ve bu geçiş boyunca bir bağlantıyı veya ad çözümlemesini önbelleğe alan her uygulama tutarsız davranacaktır. Bu tutarsızlığı desteklemek temiz bir arızadan daha zordur, çünkü zamana bağlıdır. Yanlış anda yeniden bağlanan kullanıcı, bağlanmayandan farklı bir deneyim yaşar.

Bu yüzden tanıdık bir IP adresi kimlik kanıtı değildir. Gerçek hedef için sertifika ve sunucu adı doğrulamasını koruyun, çünkü beş dakika önce ulaştığınız sayısal adres artık başka bir konuşmaya ait olabilir.

Havuzu bildiğiniz her ağla karşılaştırın

RFC 1918 özel kullanım için üç blok ayırır: 192.168.0.0/16, 172.16.0.0/12 ve 10.0.0.0/8. Milyonlarca ayrı kuruluş bunları yeniden kullanır, bu yüzden özel, tahsisle ilgili bir ifadedir ve asla başka kimsenin aynı numaraları seçmediğine dair bir söz değildir.

Aday havuzu ofis LAN'ları, bulut VPC'leri, diğer VPN havuzları, iş ortağı bağlantıları ve uzaktan çalışanların evde sahip olma olasılığı yüksek aralıklarla karşılaştırın. Ev durumu tuhaf bir önek uydurmak için bir neden değildir; havuzu küçük ve belgelenmiş tutmak için bir nedendir.

Tahsisi yönlendirmenin sahibiyle koordine edin ve dönüş yolunu aynı yerde kaydedin. Kimsenin geri yönlendiremediği bir havuz, bir kesinti sırasında yeniden keşfedilecek bir havuzdur. Havuzu site aralıklarıyla aynı belgeye koyun, yalnızca bir kişinin düzenlediği bir istemci yapılandırmasına değil. Bir sonraki çakışmayı önlenebilir kılan belgedir.

Genel adresleme ne zaman doğru yanıttır

Doğru tahsis edilmiş küresel alana sahip kuruluşlar açıkça genel adresli bir VPN havuzu kurabilir ve bazıları çeviriden kaçınmak için bunu bilerek yapar. Bu tasarım yine de yönlendirme, kaynak doğrulaması, erişim kuralları ve istemci kimlik doğrulaması gerektirir; tahsis bunların hiçbirini sağlamaz.

Sağladığı şey benzersizliktir, ödünç alınan önekte eksik olan özellik. Blok sizdeyse, istemcinizin kurduğu yol gerçekten size ait adresleri gösterir ve tünel düştüğünde anlam değişmez.

Bir havuz seçimini telafi etmek için NAT'ı otomatik olarak eklemeyin. Açık dönüş yolları olan yönlendirilmiş özel bir tasarım, adresleme hiç planlanmadığı için uygulanan çeviriden daha temizdir ve IPv6, IPv4 varsayımlarının kopyası yerine kendi bilinçli planına ihtiyaç duyar.

Kötü bir havuzu erişimi kaybetmeden kullanımdan kaldırın

Havuz zaten dağıtılmışsa, değiştirmeden önce envanter çıkarın: adres rezervasyonları, kurulu yollar, bloğa çözümlenen DNS kayıtları, güvenlik duvarı kapsamları ve bunlara bağlı uygulamalar. Ardından değişikliği diğer her yönlendirme geçişi kadar dikkatle planlayın. Fark edecek kişilere duyurun, çünkü havuz taşındığında oturumları düşecektir. İstemci adreslemesindeki sessiz bir değişiklik, işle ilgisiz görünen destek biletleri üretir.

Kaldırdığınız havuza bağlı olmayan bir kurtarma yolu koruyun, çünkü onu geri çektiğiniz an uzaktan erişiminizin onunla birlikte kaybolabileceği andır. Ardından iki yönü de doğrulayın: amaçlanan özel hedefler hâlâ çalışıyor ve daha önce yakalanan internet hedefleri artık gerçek sahiplerine çözümleniyor.

İstediğiniz, ağ ekibinin tek bir tutarlı şey olarak tahsis edebileceği, yönlendirebileceği ve kullanımdan kaldırabileceği bir havuzdur. Yalnızca adres biçimi ne güvenliği ne de bağlantıyı kurar.