Công khai, riêng tư, tĩnh và chuyên dụng là các thuộc tính địa chỉ độc lập. Hãy xây dựng một bản đồ triển khai cũng bao gồm định tuyến, tường lửa, DNS chuyển tiếp, DNS đảo ngược và TLS, và xác minh từng cài đặt với bên kiểm soát nó.
Các thuộc tính địa chỉ trả lời những câu hỏi khác nhau
Công khai và riêng tư mô tả nơi một địa chỉ được dự định định tuyến. Tĩnh và động mô tả cách một phân bổ hoạt động theo thời gian. Chuyên dụng và chia sẻ mô tả cách một địa chỉ được sử dụng hoặc phân bổ trong một dịch vụ. Đây là các thuộc tính riêng biệt: một địa chỉ công khai ổn định có thể phục vụ nhiều site, và một địa chỉ riêng có thể được gán động trong một mạng được kiểm soát.
Viết vai trò của từng địa chỉ trong triển khai: điểm vào công khai, cơ sở dữ liệu nội bộ, tuyến quản trị hoặc kết nối ra ngoài. Sau đó xác định ai gán nó và điều gì có thể thay đổi. Điều này ngăn công việc cấu hình phụ thuộc vào một giả định như chuyên dụng nghĩa là cố định vĩnh viễn hoặc công khai nghĩa là dịch vụ có thể truy cập được. Khả năng truy cập cũng phụ thuộc vào định tuyến, tường lửa và trình lắng nghe của ứng dụng.
Địa chỉ riêng vẫn cần định tuyến và kiểm soát truy cập
RFC 1918 dành các dải IPv4 10.0.0.0/8, 172.16.0.0/12 và 192.168.0.0/16 cho mạng riêng. Địa chỉ của chúng không phải là đích công khai duy nhất trên toàn cầu. Một mạng có thể dịch địa chỉ riêng cho các kết nối ra ngoài hoặc kết nối các mạng riêng thông qua các tuyến rõ ràng. Một dịch vụ đầu vào phía sau dịch địa chỉ cần một phương thức công bố có chủ đích; chỉ thay đổi bản ghi DNS không tạo ra tuyến đó.
IPv6 có các loại địa chỉ và phạm vi riêng, bao gồm địa chỉ liên kết cục bộ và địa chỉ unicast định tuyến toàn cầu. Hãy xem xét nó riêng biệt thay vì giả định một quy tắc tường lửa hoặc dịch địa chỉ IPv4 bao phủ IPv6. Một địa chỉ riêng không phải là cơ chế xác thực, và một địa chỉ IPv6 công khai không phải là lý do để phơi bày mọi dịch vụ. Kiểm tra truy cập từ từng mạng liên quan và hạn chế quản trị tại ranh giới thích hợp.
Tên ổn định và địa chỉ ổn định có liên quan với nhau
DHCP phân bổ cấu hình địa chỉ thông qua một giao thức và có thể sử dụng thời hạn thuê. Một địa chỉ được gán động có thể không thay đổi trong một thời gian; điều đó không làm cho tính lâu dài của nó trở thành bảo đảm hợp đồng. Khi một ứng dụng phụ thuộc vào một địa chỉ ổn định, hãy xác minh chính sách gán và thay đổi của nhà cung cấp thay vì suy ra từ kết nối hôm qua.
DNS động có thể cập nhật tên sau khi địa chỉ thay đổi, nhưng máy khách vẫn có thể lưu đệm câu trả lời trước đó. Nó cũng không thể khắc phục trình lắng nghe không thể truy cập, tuyến đầu vào bị thiếu hoặc dịch địa chỉ cấp nhà mạng. Hãy sử dụng nó khi mạng cho phép kết nối và ứng dụng chấp nhận độ trễ cập nhật. Đối với một triển khai được lưu trữ, hãy ghi lại vòng đời địa chỉ dự kiến trước khi xây dựng danh sách cho phép hoặc tích hợp bên ngoài xung quanh nó.
| Thuộc tính | Điều cần xác nhận | Giả định sai lầm phổ biến |
|---|---|---|
| Công khai hoặc riêng tư | Phạm vi định tuyến và đường truy cập | Chỉ một địa chỉ làm cho dịch vụ có thể truy cập |
| Tĩnh hoặc động | Chính sách gán và thay đổi | Một thời hạn thuê không thay đổi là vĩnh viễn |
| Chuyên dụng hoặc chia sẻ | Phân bổ và sử dụng được phép | Một địa chỉ chuyên dụng cung cấp danh tính ẩn danh |
| IPv4 hoặc IPv6 | Cả cấu hình định tuyến và tường lửa | Cài đặt của một giao thức bao phủ giao thức kia |
DNS chuyển tiếp và DNS đảo ngược có chủ sở hữu khác nhau
DNS chuyển tiếp ánh xạ tên thành dữ liệu như bản ghi địa chỉ A và AAAA. DNS đảo ngược sử dụng một không gian tên liên quan đến địa chỉ và bản ghi PTR để liên kết một địa chỉ với một tên. Tổ chức kiểm soát vùng DNS chuyển tiếp không nhất thiết là tổ chức kiểm soát DNS đảo ngược cho dải địa chỉ. Hãy lấy đường cấu hình đúng trước khi hứa một tên đảo ngược.
Kiểm tra bản ghi thông qua trình phân giải thích hợp và ghi lại kết quả. Đối với một PTR dự định nhận diện một máy chủ, cũng hãy kiểm tra xem bản ghi chuyển tiếp tương ứng có trỏ đến địa chỉ mong đợi không. DNS đảo ngược có thể hỗ trợ nhận diện vận hành và một số kiểm tra hệ thống thư, nhưng nó không xác thực một ứng dụng hay bảo đảm việc gửi thư. Việc gửi thư cũng cần xem xét miền, uy tín và xác thực riêng.
Không phải mọi site HTTPS đều cần một địa chỉ chuyên dụng
Định tuyến máy chủ HTTP và tiện ích mở rộng Chỉ báo Tên Máy chủ TLS cho phép máy khách và máy chủ được hỗ trợ chọn một site hoặc chứng chỉ theo tên. Do đó, nhiều site HTTPS có thể sử dụng một địa chỉ mà không cần một địa chỉ công khai cho mỗi miền. Cấu hình lưu trữ thực tế và máy khách được yêu cầu quyết định liệu sắp xếp đó có phù hợp hay không.
Chỉ chọn một địa chỉ bổ sung khi có yêu cầu được ghi lại đòi hỏi điều đó, chẳng hạn như tách biệt mạng được hỗ trợ hoặc một hệ thống bên ngoài mong đợi một điểm cuối riêng biệt. Một địa chỉ không cung cấp khả năng miễn nhiễm với các vấn đề uy tín hay nhận diện người vận hành dịch vụ. Giữ chứng chỉ, định tuyến tên máy chủ và phân bổ địa chỉ như các kiểm tra riêng biệt. Xác minh chứng chỉ được phục vụ thông qua tên máy chủ mà người dùng thực sự sẽ truy cập.
Sử dụng bản đồ triển khai trước khi thay đổi bản ghi
Tạo một bản đồ nhỏ chứa từng tên máy chủ, bản ghi địa chỉ, trình lắng nghe, đường tường lửa và bên chịu trách nhiệm. Bao gồm quản trị, sao lưu và mọi danh sách cho phép ra ngoài. Kiểm tra xem cấu hình SwissOctet có liệt kê tùy chọn địa chỉ bạn cần không và hỏi về quyền kiểm soát DNS đảo ngược trước khi dựa vào nó. Đừng trình bày các tùy chọn danh mục như một phân bổ trực tiếp đã được cung cấp.
Trong quá trình di chuyển, hãy chuẩn bị ứng dụng đích và cài đặt TLS trước khi hướng người dùng đến đó. Tính đến bộ nhớ đệm DNS và duy trì một đường khôi phục khả thi. Xác minh phân giải chuyển tiếp, khả năng truy cập ứng dụng thực tế và tên đảo ngược mong đợi một cách riêng biệt. Bản đồ giúp dễ định vị lỗi hơn vì một bản ghi sai, một cổng bị đóng và một chứng chỉ không khớp là những vấn đề khác nhau với chủ sở hữu khác nhau.
Danh sách kiểm tra thực tế của bạn.
- Ánh xạ vai trò địa chỉ, phân bổ và quyền sở hữu.
- Kiểm tra IPv4 và IPv6 riêng biệt.
- Xác minh định tuyến đầu vào trước khi dựa vào DNS.
- Xác định ai kiểm soát bản ghi PTR.
- Kiểm tra tên máy chủ, chứng chỉ và ứng dụng cùng nhau.
Những chi tiết quan trọng.
IP chuyên dụng có làm cho dịch vụ ẩn danh không?+
Không. Nó mô tả một sắp xếp phân bổ hoặc sử dụng, không phải bảo đảm danh tính hay quyền riêng tư. Tài khoản, lưu lượng và dữ liệu ứng dụng có các hàm ý riêng.
Tôi có thể đặt bản ghi PTR từ bảng điều khiển DNS của miền mình không?+
Chỉ khi nó cũng kiểm soát vùng đảo ngược liên quan. Nhà cung cấp địa chỉ thường kiểm soát vùng đó hoặc cung cấp một quy trình yêu cầu riêng.
Mỗi miền HTTPS có cần địa chỉ riêng không?+
Không nhất thiết. Máy khách và máy chủ được hỗ trợ có thể sử dụng định tuyến dựa trên tên và TLS SNI. Hãy xác minh yêu cầu thực tế về lưu trữ và máy khách.
Đến nguồn.
Các tài liệu tham khảo này hỗ trợ các khái niệm kỹ thuật trong hướng dẫn này. Hãy theo dõi tài liệu hiện hành trước khi thay đổi hệ thống sản xuất.
- RFC 1918: Phân bổ địa chỉ cho mạng Internet riêng www.rfc-editor.org
- RFC 2131: Giao thức cấu hình máy chủ động www.rfc-editor.org
- RFC 1035: Triển khai và đặc tả DNS www.rfc-editor.org
- RFC 4291: Kiến trúc địa chỉ IPv6 www.rfc-editor.org
- RFC 6066: Các tiện ích mở rộng TLS, bao gồm Chỉ báo Tên Máy chủ www.rfc-editor.org
Hướng dẫn biên tập bởi SwissOctet. Các ví dụ chỉ mang tính minh họa. Thông số dịch vụ, tùy chọn có sẵn và điều kiện hợp đồng phải được xác minh riêng.