Swerwende skootrekenaar: stabiele naam of vaste kantooradres?

Jy maak die bestuurkonsol van die huis af oop, soek die skootrekenaar op naam en kry ’n adres wat ophou geldig wees het toe dit die kantoor verlaat het. Die instink is om die kantooradres op die VPN-adapter te plaas sodat alles aan die gang bly. Daardie regstelling breek gewoonlik iets anders, want om ’n toestel te vind, sy verkeer toe te laat en ’n sessie aan die lewe te hou, is drie verskillende probleme. Skei hulle voordat jy ’n adresontwerp kies.

Skei die drie vereistes

Skryf neer watter van die drie werklik misluk. ’n Persoon of gereedskap kan nie die diens vind nie; ’n bediener weier versoeke omdat die bronadres nie op ’n lys is nie; of ’n toepassing val weg wanneer die koppelvlak verander. Hulle lyk dieselfde op ’n sigblad en verg verskillende regstellings.

Die meeste swerfklagtes beland in die eerste bak en word in DNS reggestel. Om ’n stabiele identiteit te benoem is goedkoop en dek die eerste geval. Adresbehoud is duur en help net die tweede as die beleid tog herskryf word.

Maak die naam die stabiele ding

Gee die skootrekenaar ’n naam wat na watter adres ook al oplos wat deur die oproeper bereikbaar is. In hierdie voorbeeld is die kantooradres 192.168.50.42, die afstandtoegang-poel deel 10.90.0.42 uit, en laptop17.corp.example volg die aankoppeling. Niks vereis dat die laaste oktet ooreenstem nie, en om rondom daardie ooreenkoms te ontwerp skep werk sonder enige voordeel. Die rekord moet na die adres wys wat die oproeper werklik kan gebruik, nie na elke koppelvlak wat die skootrekenaar ooit gehad het nie.

dig +short laptop17.corp.example

Resolvers hou antwoorde in die kas, so die verandering is nie vir almal onmiddellik nie. Kort TTL’s help, en herverbindingslogika in die toepassing help meer.

Wanneer ’n bron-toelatingslys die werklike beperking is

’n Bron-toelatingslys sien die adres wat die beskermde diens ontvang, ná enige vertaling. Dit is dikwels ’n poortweg- of NAT-adres eerder as die skootrekenaar se eie, en daarom herstel die wysiging van DNS-rekords nooit ’n verwerpte versoek nie. Werk die beleid by vir die adres wat werklik aankom, of vervang die lys met ’n geauthentiseerde identiteit.

Vang een aanvaarde versoek op die bediener en lees die bronveld, en herhaal dan vanaf die afstandroete. As die twee adresse verskil, het die beleid twee inskrywings of ’n ander meganisme nodig. Teken beide adresse by die beleidsinskrywing aan sodat die volgende persoon kan sien waarom daar twee is. Om ’n adres te hergebruik wat reeds aktief op dieselfde skakel is is ’n aparte konflikprobleem met sy eie opsporingsreëls.

Wat kontinuïteit werklik vereis

Verbindingskontinuïteit is die moeilikste vereiste en die een wat die meeste verkeerd gelees word. ’n TCP-verbinding word deur beide adresse en beide poorte geïdentifiseer, so ’n nuwe plaaslike adres is ’n ander verbinding, maak nie saak wat DNS sê nie. Toepassings wat saak maak, moet herverbind, wat ’n sessielaag of ’n kliënt beteken wat weer probeer eerder as ’n netwerktruuk. Kyk na ’n sessie tydens die skuif en die onderbreking is onmiddellik, nie geleidelik nie.

ss -tnp state established '( dport = :443 )'

Om ’n MAC-adres te kloon los dit ook nie op nie. DHCP-huurooreenkoms-identiteit kan ’n eksplisiete kliëntidentifiseerder gebruik, en twee koppelvlakke wat een identiteit deel het steeds gekoördineerde roetes nodig. Behandel mobiliteit as ’n toepassing- en toekenningsontwerp, en hou die toestel se identiteit stabiel terwyl sy adres die netwerk volg.