A nyilvános, privát, statikus és dedikált egymástól független cím tulajdonságok. Készítsen telepítési térképet, amely lefedi az útvonalválasztást, a tűzfalakat, az előre irányuló DNS-t, a fordított DNS-t és a TLS-t is, és ellenőrizze minden beállítást azzal a féllel, aki azt szabályozza.
A cím tulajdonságai különböző kérdésekre válaszolnak
A nyilvános és a privát azt írja le, hogy egy címet hova szánnak irányítani. A statikus és a dinamikus azt írja le, hogyan viselkedik egy hozzárendelés az idő múlásával. A dedikált és a megosztott azt írja le, hogyan használják vagy osztják ki a címet egy szolgáltatáson belül. Ezek külön tulajdonságok: egy stabil nyilvános cím sok helyet szolgálhat ki, és egy privát cím dinamikusan hozzárendelhető egy ellenőrzött hálózaton belül.
Írja le minden cím szerepét a telepítésben: nyilvános belépési pont, belső adatbázis, felügyeleti útvonal vagy kimenő kapcsolat. Ezután határozza meg, ki rendeli hozzá, és mi változhat. Ez megakadályozza, hogy a konfigurációs munka olyan feltételezéstől függjön, mint hogy a dedikált véglegesen rögzítettet jelent, vagy a nyilvános azt jelenti, hogy a szolgáltatás elérhető. Az elérhetőség az útvonalválasztástól, a tűzfalaktól és az alkalmazás figyelőjétől is függ.
A privát címzéshez is szükség van útvonalválasztásra és hozzáférés-vezérlésre
Az RFC 1918 a IPv4 tartományokat 10.0.0.0/8, 172.16.0.0/12 és 192.168.0.0/16 néven tartja fenn privát hálózatok számára. Címeik nem globálisan egyedi nyilvános célpontok. Egy hálózat fordíthatja a privát címeket kimenő kapcsolatokhoz, vagy explicit útvonalakon keresztül összekapcsolhatja a privát hálózatokat. A fordítás mögötti bejövő szolgáltatáshoz szándékos közzétételi módszer szükséges; egy DNS rekord önmagában történő módosítása nem hozza létre ezt az útvonalat.
A IPv6 saját címtípusokkal és hatókörökkel rendelkezik, beleértve a link-local címzést és a globálisan irányítható unicast címeket. Vizsgálja meg külön, ahelyett hogy feltételezné, hogy egy IPv4 tűzfal- vagy fordítási szabály lefedi a IPv6-t. A privát cím nem hitelesítési mechanizmus, és egy nyilvános IPv6 cím nem ok arra, hogy minden szolgáltatást elérhetővé tegyen. Tesztelje a hozzáférést minden releváns hálózatból, és korlátozza az adminisztrációt a megfelelő határon.
A stabil nevek és a stabil címek összefüggenek
A DHCP protokollon keresztül osztja ki a címkonfigurációt, és bérleteket használhat. Egy dinamikusan hozzárendelt cím egy ideig változatlan maradhat; ez nem teszi állandóságát szerződéses garanciává. Amikor egy alkalmazás stabil címtől függ, ellenőrizze a szolgáltató hozzárendelési és változtatási szabályzatát, ahelyett hogy a tegnapi kapcsolatból következtetne rá.
A dinamikus DNS frissítheti a nevet egy címváltozás után, de a kliensek továbbra is gyorsítótárazhatják az előző választ. Nem tud felülkerekedni egy elérhetetlen figyelőn, egy hiányzó bejövő útvonalon vagy a szolgáltatói szintű címfordításon sem. Akkor használja, amikor a hálózat engedélyezi a kapcsolatot, és az alkalmazás elviseli a frissítési késleltetéseket. Hosztolt telepítés esetén dokumentálja a szánt cím-életciklust, mielőtt engedélylistákat vagy külső integrációkat építene rá.
| Tulajdonság | Mit kell megerősíteni | Gyakori téves feltételezés |
|---|---|---|
| Nyilvános vagy privát | Útvonalválasztási hatókör és hozzáférési útvonal | Egy cím önmagában elérhetővé tesz egy szolgáltatást |
| Statikus vagy dinamikus | Hozzárendelési és változtatási szabályzat | A változatlan bérlet végleges |
| Dedikált vagy megosztott | Kiosztás és engedélyezett használat | A dedikált cím névtelen identitást biztosít |
| IPv4 vagy IPv6 | Mind az útvonalválasztási, mind a tűzfalkonfiguráció | Az egyik protokoll beállításai lefedik a másikat |
Az előre irányuló DNS és a fordított DNS tulajdonosai eltérnek
Az előre irányuló DNS neveket rendel olyan adatokhoz, mint az A és AAAA címrekordok. A fordított DNS egy címhez kapcsolódó névteret és PTR rekordokat használ, hogy egy címet névhez társítson. Az előre irányuló DNS zónát szabályozó szervezet nem feltétlenül azonos a címterület fordított DNS-jét szabályozó szervezettel. A fordított név ígérete előtt szerezze be a megfelelő konfigurációs útvonalat.
Ellenőrizze a rekordot a megfelelő feloldón keresztül, és jegyezze fel az eredményt. Egy hoszt azonosítására szánt PTR esetén azt is ellenőrizze, hogy a megfelelő előre irányuló rekord a várt címre mutat-e. A fordított DNS támogathatja az üzemeltetési azonosítást és egyes levelezési rendszerellenőrzéseket, de nem hitelesít egy alkalmazást, és nem garantálja az üzenetkézbesítést. A levelek küldéséhez saját domain-, hírnév- és hitelesítési vizsgálat is szükséges.
Nem szükséges dedikált cím minden HTTPS helyhez
A HTTP hoszt-útvonalválasztás és a TLS Server Name Indication kiterjesztés lehetővé teszi a támogatott kliensek és szerverek számára, hogy név alapján válasszanak helyet vagy tanúsítványt. Így több HTTPS hely használhat egy címet anélkül, hogy domainenként egy nyilvános címre lenne szükség. A tényleges hosztolási konfiguráció és a szükséges kliensek határozzák meg, hogy ez az elrendezés megfelelő-e.
Csak akkor válasszon további címet, ha dokumentált követelmény indokolja, például támogatott hálózati elkülönítés vagy olyan külső rendszer, amely külön végpontot vár. Egy cím nem nyújt védelmet a hírnévproblémák ellen, és nem azonosítja a szolgáltatást üzemeltető személyt. Tartsa külön a tanúsítványokat, a hosztnév-útvonalválasztást és a címkiosztást. A kiszolgált tanúsítványt azon a hosztnéven keresztül ellenőrizze, amelyet a felhasználók ténylegesen meglátogatnak.
A rekordok módosítása előtt használjon telepítési térképet
Készítsen egy kis térképet, amely tartalmazza az egyes hosztneveket, címrekordokat, figyelőket, tűzfalútvonalakat és a felelős felet. Foglalja bele az adminisztrációt, a biztonsági mentéseket és az esetleges kimenő engedélylistákat. Ellenőrizze, hogy a SwissOctet konfiguráció felsorolja-e a szükséges címbeállítást, és kérdezzen rá a fordított DNS szabályozására, mielőtt rá támaszkodna. Ne mutassa be a katalógusopciókat olyan élő hozzárendelésként, amelyet már kiépítettek.
Áthelyezés során készítse elő a célalkalmazást és a TLS beállításokat, mielőtt a felhasználókat oda irányítaná. Számoljon a DNS gyorsítótárakkal, és tartson fenn működő helyreállítási útvonalat. Az előre irányuló feloldást, a tényleges alkalmazáselérhetőséget és a várt fordított nevet külön ellenőrizze. A térkép megkönnyíti a hibák helyének megtalálását, mert egy hibás rekord, egy zárt port és egy nem egyező tanúsítvány különböző problémák, különböző felelősökkel.
Az Ön gyakorlati ellenőrzőlistája.
- Térképezze fel a cím szerepét, hozzárendelését és tulajdonjogát.
- Ellenőrizze a IPv4-t és a IPv6-t külön.
- A DNS-ra támaszkodás előtt ellenőrizze a bejövő útvonalválasztást.
- Határozza meg, ki szabályozza a PTR rekordokat.
- Tesztelje együtt a hosztnevet, a tanúsítványt és az alkalmazást.
A fontos részletek.
Névtelenné tesz egy szolgáltatást a dedikált IP?+
Nem. Ez egy kiosztási vagy használati elrendezést ír le, nem identitás- vagy adatvédelmi garanciát. A fiókoknak, a forgalomnak és az alkalmazásadatoknak külön következményeik vannak.
Beállíthatok PTR rekordokat a domainem DNS paneljéről?+
Csak akkor, ha az a megfelelő fordított zónát is szabályozza. A cím szolgáltatója általában azt a zónát szabályozza, vagy külön kérési folyamatot biztosít.
Minden HTTPS domainnek saját címre van szüksége?+
Nem feltétlenül. A támogatott kliensek és szerverek névalapú útvonalválasztást és TLS SNI-t használhatnak. Ellenőrizze a tényleges hosztolási és klienskövetelményeket.
Menjen a forráshoz.
Ezek a hivatkozások támogatják az útmutató műszaki fogalmait. Kövesse az aktuális dokumentációt, mielőtt éles rendszert módosítana.
- RFC 1918: Címkiosztás privát internetekhez www.rfc-editor.org
- RFC 2131: Dinamikus hosztkonfigurációs protokoll www.rfc-editor.org
- RFC 1035: DNS implementáció és specifikáció www.rfc-editor.org
- RFC 4291: IPv6 címzési architektúra www.rfc-editor.org
- RFC 6066: TLS kiterjesztések, beleértve a Server Name Indicationt www.rfc-editor.org
Szerkesztői útmutatás: SwissOctet. A példák tájékoztató jellegűek. A szolgáltatási specifikációkat, az elérhető opciókat és a szerződéses feltételeket külön kell ellenőrizni.