VPN ile bağlı bir sunucu için DNS'e hangi adres girer?
Barındırılan bir sunucuda üç adres bulunur ve bunlar birbirinin yerine geçmez. Her hizmetin ihtiyaç duyduğu değeri seçin, sonra makinenin dışından doğrulayın.
VPN kurulu barındırılan bir sunucu sonunda üç adres taşır ve bunlardan yalnızca biri yapılandırmak üzere olduğunuz her yere aittir. Numarayı sağlayıcı panelinden DNS'e, bir dinleyiciye veya bir izin listesine kopyalamak, çalışan bir tünelin kimsenin ulaşamadığı bir hizmete dönüşme yoludur. Bu kılavuz, her adresin belirtilen bir amaç için seçilmesi için işi sıraya koyar. Ayrıca gerçekte ne yayımladığınızı doğrulayan komutları listeler.
Herhangi bir şey yayımlamadan önce üç adresi haritalayın
Onları işlevlerine göre adlandırın. Underlay adresi, makinenin VPN uç noktasına internet üzerinden ulaşmak için kullandığı adrestir ve genellikle sağlayıcının NAT'ı arkasında özeldir. Tünel adresi VPN'in içinde yaşar ve ürüne bağlı olarak sunucu ya da istemci tarafından verilir. Genel çıkış uzak bir web sitesinin çeviriden sonra kaydettiği adrestir, ve sorgulayabildiğiniz hiçbir arayüzde var olmak zorunda değildir.
Bir makine için tek bir genel adres gösteren bir panel, diğer iki rol hakkında size çok az şey söyler. Underlay erişilebilirliği bir gereksinimdir, bir satın alma değildir: ev yönlendiricisinin arkasındaki bir dizüstü bilgisayar, genel bir IPv4 adresine sahip olmadan barındırılan bir VPN uç noktasına ulaşabilir. Yapamayacağınız şey, kimsenin yönlendirmediği bir adrese çözülen bir ad yazarak gelen bir yol uydurmaktır.
Adresi etikete göre değil, hizmete göre seçin
Bir numara seçmeden önce sunucunun ne yapması gerektiğini yazın. Giden API çağrıları, karşı taraf bir izin listesi tuttuğunda istikrarlı bir çıkışa ihtiyaç duyar. Özel erişim, istemcilerin yönlendirebileceği bir tünel adresine ve ona bağlı bir dinleyiciye ihtiyaç duyar. Genel barındırma, sağlayıcının gerçekten sunduğu gelen bir eşlemeye ihtiyaç duyar ve bunu yalnızca çıkış adresi sağlamaz.
Tek bir makine üç amacın hepsine hizmet edebilir ve yine de üç farklı adres kullanabilir. Kırılan şey, tek bir değerin hepsini kapsadığı varsayımıdır:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
Tartışılan satır gelen satırdır. Çıkış adresini gösteren bir kayıt dinleyici, güvenlik duvarı açıklığı veya bağlantı noktası eşlemesi oluşturmaz ve beklemek bunu değiştirmez. Sağlayıcı, özel bir adresi gelen bir kuralla birlikte satıyorsa, o paket satın aldığınız yetenektir; adresin kendisi hak değildir.
Hangi adresin hangisi olduğunu gösteren komutlar
Paneli değil, makineyi okuyun. Arayüz adları sistemler arasında farklıdır, bu yüzden adresleri etikete güvenmek yerine aygıtlarla eşleştirin.
İlk satır her IPv4 adresini ve aygıtını listeler, ikincisi ise çekirdeğe bilinen bir dış hedef için hangi aygıtı kullanacağını sorar:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'Yol araması genel trafik için bir tünel aygıtıyla yanıt veriyorsa, tam tüneliniz yürürlüktedir. Dinleyici kontrolü de aynı derecede önemlidir, çünkü yalnızca 127.0.0.1'e bağlı bir süreç, hangi adı yayımlarsanız yayımlayın tünel adresinde asla yanıt vermez.
Yayımlayın, sonra dışarıdan doğrulayın
Hizmetin ihtiyaç duyduğu değeri yayımlayın, fazlasını değil: barındırma için bir A veya AAAA kaydı, giden çağrılar için bir izin listesi girdisi, özel erişim için bir istemci profili. Sonra önemli olan konumdan test edin ve bu asla az önce düzenlediğiniz makine değildir.
İki kontrol çoğunu kapsar ve ikisi de bir betikte tutulacak kadar ucuzdur:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthKaydınızın var olduğunu kanıtlayan bir DNS yanıtı, bir isteğin ulaştığının kanıtı değildir ve başarılı bir istek yalnızca bir yolun bir ağdan çalıştığını kanıtlar. Bir izin listesi söz konusu olduğunda kontrolü bir mobil bağlantıdan yineleyin, çünkü gözlemlediğiniz çıkış adres ailesine ve izlenen yola bağlı olabilir. Hangi aileyi doğruladığınızı not edin; çalışan bir IPv4 yolu IPv6 hakkında hiçbir şey söylemez.
Hizmet gelen yönlüyse çıkış adresi yeterli değildir
Gelen erişim dört şeyin hizada olmasını gerektirir: bir istemcinin ulaşabileceği bir ad veya adres, paketi makineye teslim eden bir yol, onu kabul eden bir dinleyici ve onu düşürmeyen bir politika. Bir VPN ikinci öğeyi ve bazen birinciyi değiştirir, üçüncü ve dördüncü için hiçbir şey yapmaz. Tünel teslim yolu olduğunda istemciler çıkışa değil, tünel adresine bağlanır.
Her hizmetin hangi adrese bağlı olduğunu kaydedin ve sağlayıcı yönlendirme modelini her değiştirdiğinde bu notu yeniden gözden geçirin. Özel olarak yanıt verip genel olarak başarısız olan bir sunucu genellikle bozuk değildir; yanlış kimlikle yanıt veriyordur ve onarım bir güvenlik duvarı değişikliği değil, bir eşleme kararıdır.