Tiền tố công cộng cho máy khách VPN: điều gì thực sự bị phá vỡ

Một nhóm máy khách được chọn vì các con số trông gọn gàng là một tuyến đường đang chờ được cài đặt. Tiền tố không cần phải riêng tư để VPN hoạt động, và việc dùng một khối thuộc về người khác cũng không tự động phơi bày người dùng của bạn ra internet. Điều nó làm là khiến những địa chỉ đó mang nghĩa khác trong lúc đường hầm còn hoạt động, rồi lại mang nghĩa khác khi đường hầm sập. Hãy thực hiện năm bước kiểm tra dưới đây theo thứ tự và dừng ở chỗ câu trả lời là «đã được cấp ở nơi khác».

Cấp phát không phải là công bố

Đặt một địa chỉ lên giao diện đường hầm không công bố nó ra internet. Khả năng tiếp cận công cộng cần một tuyến đường, một lối đi được cấp phép và một nhà cung cấp sẵn sàng mang nó, và không điều nào trong số đó xuất hiện vì máy khách nhận địa chỉ từ một nhóm. Chính sách tường lửa và uỷ quyền máy chủ lại là những quyết định riêng.

Đó là lý do rủi ro không phải như phần lớn người ta giả định. Tiền tố đi vay không làm máy khách của bạn trở nên tiếp cận được; nó làm các đích của người khác không thể tiếp cận từ máy khách của bạn, đó là một sự cố khác với chủ sở hữu khác. Không ai bị tấn công và không có công bố nào lọt ra. Người dùng chỉ đơn giản là không mở được một trang đã hoạt động hôm qua, và bộ phận hỗ trợ không có lý do để nghi nhóm VPN.

Sự khác biệt này quan trọng khi bạn chọn một nhóm. Nếu mối lo duy nhất là phơi bày ra internet, một khối công cộng sẽ trông an toàn vì không gì công bố nó. Mối lo là tuyến đường cục bộ mà máy khách cài cho tiền tố đó, và tuyến đường đó vẫn được cài dù người khác có nhìn thấy hay không.

Tuyến đường của máy khách thực sự chặn gì

Khi đường hầm lên, máy khách nhận một tuyến đường cho tiền tố của nhóm, và tuyến đường đó thắng tuyến mặc định cho mọi đích bên trong nó. Một yêu cầu tới máy chủ hợp pháp trong khối đó giờ đi vào VPN thay vì internet. Việc nó thất bại, bị treo hay tới nhầm máy chủ phụ thuộc vào điều phía bạn làm với nó.

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

Hãy chạy tra cứu khi đường hầm bật và chạy lại khi đường hầm tắt. Địa chỉ mang một nghĩa trong trường hợp đầu và một nghĩa hoàn toàn khác trong trường hợp sau, và mọi ứng dụng đã lưu đệm một kết nối hay một phân giải tên qua bước chuyển đó sẽ hành xử không nhất quán. Sự không nhất quán đó khó hỗ trợ hơn một hỏng hóc rõ ràng, vì nó phụ thuộc vào thời điểm. Người dùng kết nối lại sai thời điểm có trải nghiệm khác với người không làm vậy.

Đó cũng là lý do một địa chỉ IP quen thuộc không phải bằng chứng danh tính. Hãy giữ việc kiểm tra chứng chỉ và tên máy chủ cho đích thật, vì địa chỉ số bạn tới năm phút trước có thể giờ thuộc một cuộc trò chuyện khác.

Hãy so nhóm với mọi mạng bạn biết

RFC 1918 dành riêng ba khối cho dùng riêng: 192.168.0.0/16, 172.16.0.0/12 và 10.0.0.0/8. Hàng triệu tổ chức riêng biệt dùng lại chúng, nên riêng tư là một phát biểu về việc cấp phát và không bao giờ là lời hứa rằng không ai khác đã chọn cùng những con số đó.

Hãy so nhóm ứng viên với các LAN văn phòng, VPC trên đám mây, các nhóm VPN khác, liên kết đối tác và các dải mà nhân viên làm việc từ xa có khả năng có ở nhà. Trường hợp ở nhà không phải lý do để phát minh một tiền tố lạ; đó là lý do để giữ nhóm nhỏ và được ghi lại.

Hãy phối hợp việc cấp phát với người sở hữu định tuyến, và ghi lại đường về ở cùng một chỗ. Một nhóm mà không ai định tuyến ngược về được là một nhóm sẽ bị phát hiện lại trong một sự cố. Đặt nhóm trong cùng tài liệu với các dải của site, không phải trong một cấu hình máy khách chỉ có một người sửa. Tài liệu chính là thứ khiến va chạm tiếp theo có thể tránh được.

Khi nào địa chỉ công cộng là câu trả lời đúng

Các tổ chức có không gian toàn cầu được cấp đúng hoàn toàn có thể xây một nhóm VPN dùng địa chỉ công cộng, và một số làm vậy có chủ đích để tránh dịch địa chỉ. Thiết kế đó vẫn cần định tuyến, xác thực nguồn, quy tắc truy cập và xác thực máy khách; việc cấp phát không cung cấp điều nào trong số đó.

Điều nó cung cấp là tính duy nhất, thuộc tính mà tiền tố đi vay thiếu. Nếu bạn sở hữu khối, tuyến đường máy khách của bạn cài trỏ tới những địa chỉ thực sự là của bạn, và ý nghĩa không đổi khi đường hầm sập.

Đừng tự động thêm NAT để bù cho một lựa chọn nhóm. Một thiết kế riêng tư có định tuyến với các tuyến về rõ ràng sạch hơn việc dịch địa chỉ được áp dụng vì địa chỉ chưa bao giờ được quy hoạch, và IPv6 cần một kế hoạch có chủ đích của riêng nó thay vì bản sao các giả định của IPv4.

Hãy loại bỏ một nhóm tồi mà không mất truy cập

Nếu nhóm đã được triển khai, hãy kiểm kê trước khi thay đổi: đặt trước địa chỉ, tuyến đã cài, bản ghi DNS phân giải vào khối, phạm vi tường lửa và các ứng dụng phụ thuộc vào chúng. Sau đó lên lịch thay đổi với sự cẩn trọng như mọi lần chuyển định tuyến khác. Hãy công bố cho những người sẽ nhận ra, vì phiên của họ sẽ rớt khi nhóm di chuyển. Một thay đổi âm thầm về địa chỉ máy khách tạo ra các phiếu hỗ trợ trông như không liên quan tới công việc.

Hãy giữ một đường khôi phục không phụ thuộc vào nhóm bạn đang loại bỏ, vì khoảnh khắc bạn rút nó là khoảnh khắc truy cập từ xa của bạn có thể biến mất cùng nó. Sau đó hãy xác thực cả hai chiều: các đích riêng tư dự định vẫn hoạt động, và các đích internet từng bị chặn giờ phân giải tới chủ sở hữu thật của chúng.

Điều bạn muốn là một nhóm mà nhóm mạng có thể cấp, định tuyến và loại bỏ như một thứ nhất quán. Chỉ riêng định dạng địa chỉ không thiết lập được an toàn hay kết nối.