VPN mijozlari uchun ommaviy prefiks: u aslida nimani buzadi

Raqamlar tartibli ko'ringani uchun tanlangan mijozlar havzasi o'rnatilishini kutayotgan yo'nalishdir. VPN ishlashi uchun prefiks xususiy bo'lishi shart emas, va boshqa birovning blokidan foydalanish ham foydalanuvchilaringizni avtomatik ravishda internetga ochib qo'ymaydi. U nima qiladi degani, tunnel ko'tarilgan payt bu manzillar boshqa ma'no beradi, keyin tunnel yiqilganda yana boshqa ma'no beradi. Quyidagi beshta tekshiruvni tartib bilan bajaring va javob «boshqa joyda ajratilgan» bo'lgan joyda to'xtang.

Ajratish — e'lon emas

Manzilni tunnel interfeysiga qo'yish uni internetga e'lon qilmaydi. Ommaviy ochiqlik uchun yo'nalish, ruxsat etilgan yo'l va uni tashishga tayyor provayder kerak, va mijoz manzilni havzadan olgani uchun ularning hech biri paydo bo'lmaydi. Xavfsizlik devori siyosati va xost avtorizatsiyasi yana alohida qarorlar.

Shuning uchun xavf ko'pchilik o'ylaganday emas. Qarzga olingan prefiks mijozlaringizni ochiq qilmaydi; u boshqa birovning manzillarini sizning mijozlaringizdan yetib bo'lmaydigan qiladi, bu boshqa egaga tegishli boshqa nosozlik. Hech kimga hujum qilinmaydi va hech qanday e'lon chiqib ketmaydi. Foydalanuvchi shunchaki kecha ishlagan saytni ocholmaydi, va yordam xizmatining VPN havzasidan shubhalanishga sababi yo'q.

Havza tanlashda bu farq muhim. Agar yagona tashvishingiz internetga ochilish bo'lsa, ommaviy blok xavfsiz ko'rinardi, chunki uni hech narsa e'lon qilmaydi. Tashvish — mijoz o'sha prefiks uchun o'rnatadigan mahalliy yo'nalish, va bu yo'nalish boshqa birov ko'radimi-yo'qmi, baribir o'rnatiladi.

Mijoz yo'nalishi aslida nimani ushlaydi

Tunnel ko'tarilganda mijoz havza prefiksi uchun yo'nalish oladi, va bu yo'nalish uning ichidagi har bir manzil uchun standart yo'nalishdan ustun keladi. O'sha blokdagi qonuniy xostga so'rov endi internetga emas, VPNga ketadi. U muvaffaqiyatsiz bo'ladimi, osilib qoladimi yoki noto'g'ri serverga yetib boradimi — bu sizning tomoningiz u bilan nima qilishiga bog'liq.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Qidiruvni tunnel ko'tarilgan holatda, keyin tushirilgan holatda bajaring. Manzil birinchi holatda bir narsani, ikkinchisida butunlay boshqa narsani bildiradi, va o'sha o'tish davomida ulanish yoki nom yechimini keshlagan har qanday dastur izchil bo'lmagan holda ishlaydi. Bu izchilsizlikni toza nosozlikdan ko'ra qo'llab-quvvatlash qiyin, chunki u vaqtga bog'liq. Noto'g'ri paytda qayta ulanadigan foydalanuvchi bunday qilmaydigan foydalanuvchidan boshqacha tajriba oladi.

Shuning uchun ham tanish IP manzil shaxs isboti emas. Haqiqiy manzil uchun sertifikat va server nomi tekshiruvini saqlang, chunki besh daqiqa oldin yetib borgan raqamli manzil endi boshqa suhbatga tegishli bo'lishi mumkin.

Havzani o'zingiz bilgan har bir tarmoq bilan solishtiring

RFC 1918 xususiy foydalanish uchun uchta blok ajratadi: 192.168.0.0/16, 172.16.0.0/12 va 10.0.0.0/8. Millionlab alohida tashkilotlar ularni qayta ishlatadi, shuning uchun «xususiy» ajratish haqidagi bayonot va hech qachon boshqa hech kim bir xil raqamlarni tanlamaganligi haqidagi va'da emas.

Nomzod havzani ofis LANlari, bulut VPC, boshqa VPN havzalari, hamkor aloqalari va masofadan ishlovchilar uyda bo'lish ehtimoli yuqori diapazonlar bilan solishtiring. Uy holati g'alati prefiks o'ylab topish uchun sabab emas; bu havzani kichik va hujjatlashtirilgan saqlash uchun sabab.

Ajratishni yo'naltirishga ega shaxs bilan muvofiqlashtiring va qaytish yo'lini o'sha joyda qayd eting. Hech kim orqaga yo'naltira olmaydigan havza — uzilish paytida qayta kashf qilinadigan havza. Havzani sayt diapazonlari bilan bir hujjatga joylashtiring, faqat bir kishi tahrir qilgan mijoz konfiguratsiyasiga emas. Keyingi to'qnashuvni oldini olish mumkin qiladigan narsa — hujjat.

Ommaviy manzillash qachon to'g'ri javob

To'g'ri ajratilgan global maydonga ega tashkilotlar ommaviy manzilli VPN havzasini bemalol qurishi mumkin, va ba'zilar tarjimadan qochish uchun buni ataylab qiladi. Bu dizayn baribir yo'naltirish, manba tekshiruvi, kirish qoidalari va mijoz autentifikatsiyasini talab qiladi; ajratish ularning hech birini bermaydi.

U beradigan narsa — o'ziga xoslik, qarzga olingan prefiksda yo'q xususiyat. Agar blok sizda bo'lsa, mijozingiz o'rnatadigan yo'nalish haqiqatan sizga tegishli manzillarga ishora qiladi, va tunnel yiqilganda ma'no o'zgarmaydi.

Havza tanlovini qoplash uchun NATni avtomatik qo'shmang. Aniq qaytish yo'llari bo'lgan yo'naltirilgan xususiy dizayn, manzillash hech qachon rejalashtirilmagani uchun qo'llaniladigan tarjimadan tozaroq, va IPv6 IPv4 taxminlarining nusxasini emas, o'zining ataylab tuzilgan rejasini talab qiladi.

Yomon havzani kirishni yo'qotmasdan iste'foga chiqaring

Agar havza allaqachon joylashtirilgan bo'lsa, o'zgartirishdan oldin ro'yxat tuzing: manzil rezervlari, o'rnatilgan yo'nalishlar, blokka yechiladigan DNS yozuvlari, xavfsizlik devori qamrovlari va ularga bog'liq dasturlar. Keyin o'zgarishni boshqa har qanday yo'naltirish o'tishidek ehtiyotkorlik bilan rejalashtiring. Buni sezadigan odamlarga e'lon qiling, chunki havza ko'chganda ularning seanslari uziladi. Mijoz manzillashidagi jim o'zgarish ish bilan bog'liq bo'lmagan ko'rinadigan qo'llab-quvvatlash chiptalarini keltirib chiqaradi.

Olib tashlayotgan havzaga bog'liq bo'lmagan tiklash yo'lini saqlang, chunki uni qaytarib olgan payt masofaviy kirishingiz u bilan birga yo'qolishi mumkin bo'lgan paytdir. Keyin ikkala yo'nalishni tekshiring: mo'ljallangan xususiy manzillar hali ham ishlaydi, va ilgari ushlangan internet manzillari endi o'z haqiqiy egalariga yechiladi.

Siz xohlagan narsa — tarmoq jamoasi yagona izchil narsa sifatida ajratishi, yo'naltirishi va iste'foga chiqarishi mumkin bo'lgan havza. Faqat manzil formati na xavfsizlikni, na ulanishni o'rnatadi.