Niyə SRV qeydi yalnız onu özü sorğu edən müştəriyə kömək edir

Zonanıza SRV qeydi əlavə etmək heç bir VPN müştərisinə onu axtarmağı öyrətmir. Müştəri etiketi bilməli, sorğunu göndərməyə qərar verməli və gələn cavaba uyğun hərəkət etməlidir, DNS isə bunlardan ilk ikisini təmin edə bilməz. Buna görə uğursuz SRV planlarının çoxu DNS libasında müştəri problemləridir. Əvvəlcə müştərinin aşkarlama davranışını oxuyun, sonra yalnız həqiqətən sorğu etdiyi etiketi yayımlayın.

Heç kimin sorğu etmədiyi qeyd heç kimə kömək edə bilməz

SRV xidmətin yerini yayımlayır; o, xidməti elan etmir. Heç nə qeydi müştəriyə tərəf itələmir və heç bir həlledici heç vaxt soruşulmamış adı öz istəyi ilə təqdim etmir. Axtarış tətbiqin onu etmək qərarı ilə başlayır, buna görə etiket məhsulun sənədlərindən və ya proqramın şəbəkədə müşahidəsindən gəlməlidir. Müştəridə aşkarlama addımı yoxdursa, qeyd zonanı dəyişir və başqa heç nəyi.

Buna görə şəbəkədə bir məhsul işləməyə başlaya bilər, halbuki digəri eyni dəyişiklikdən təsirlənmir. Dəyişən proqramdır və DNS serveri ona deyilənləri dəqiq yerinə yetirir. Redaktədən sonra zonanı yenidən oxuyun, çünki səhv yazılmış etiket hamısı eyni görünən qeydlər arasında asanlıqla gizlənir.

Sahələri yazmazdan əvvəl oxuyun

Qeyd dörd dəyər daşıyır və hər biri fərqli suala cavab verir: prioritet müştərinin sınaya biləcəyi hədəfləri sıralayır, çəki bərabər prioritetli hədəflər arasında yükü bölür, port nəqliyyat portunu adlandırır və hədəf hostu adlandırır. Spesifikasiya həmçinin . hədəfinin xidmətin qəsdən əlçatmaz olduğunu bildirməsinə icazə verir ki, bu da pozulmuş cavab deyil, faydalı cavabdır.

Bu sahələrin heç biri etimad məlumatı, sertifikat siyasəti və ya tətbiq versiyası daşımır və çəkini nəzərə almayan müştəri yenə də qoşulur, sadəcə nəzərdə tutulan balans olmadan. Hədəfin öz ünvan qeydləri olmalıdır və o, ləqəb deyil, kanonik ad olmalıdır. Dinləyicisi olmayan hosta yönələn qeyd yayımlamaq DNS nasazlığı kimi oxunan qoşulma xətası yaradır ki, bu da ən bahalı yanıltmadır. Bütün zənciri yayımlayın və ya heç birini yayımlamayın.

Müştərinin həqiqətən göndərdiyi etiketi tapın

Etiketi məhsulun adı haqqında təxmindən deyil, sübutdan müəyyən edin. Ya sənədlər xidmət adını göstərir, ya da şəbəkə tutması müştərinin başladıqda göndərdiyi sorğunu göstərir. Hər iki yol eyni yerə çatır: həllediciyə qarşı sınamaq üçün dəqiq ad və tip.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Cavabı yayımladığınız qeydlə hərf-hərf müqayisə edin, çünki alt xətlər və sondakı nöqtə adın bir hissəsidir. Həqiqətən göndərilmiş sorğuya boş cavab zonaya işarə edir, heç bir sorğu olmaması isə müştəriyə işarə edir və bu tapıntılar sizi fərqli komandalara yönəldir. Əsl cavab aşağıdakı sətir kimi görünür: burada 20 prioriteti daha aşağı prioritetli istənilən qeydə uduzur və müştəri adlandırılmış hədəfdə 8443 portuna qoşulur.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Hədəf də mövcud olmalıdır

Həll olunan hədəf cavab verən xidmətlə eyni şey deyil. Hədəfin ünvan qeydlərini yoxlayın, sonra yayımlanmış port və protokolda nəyinsə dinlədiyini yoxlayın. Yalnız UDP dinləyicisinə yönələn TCP qeydi heç bir zona redaktəsinin düzəldə bilmədiyi uyğunsuzluqdur. Hədəf dəyişkən olduqda TTL-i qısa saxlayın və ad hərəkət etməyi dayandırdıqda onu uzadın.

Aşkarlamanı həqiqətən həyata keçirən müştərilər qeydin nə qədərini nəzərə aldıqlarına görə fərqlənirlər. Bəziləri yalnız prioriteti istifadə edir, bəziləri çəkini məsləhət kimi qəbul edir, bir neçəsi isə portu nəzərə almır və standart dəyər fərz edir. Bu fərqlər etiketin yanındakı qeydlərinizdə yer almalıdır, çünki əks halda həlledici nasazlığı kimi görünən davranışı onlar izah edir.

Aşkarlama autentifikasiya deyil

SRV cavabı hara qoşulacağınızı deyir və oraya çatdıqdan sonra kimə etibar edəcəyiniz barədə heç nə demir. Müştərinin sertifikat yoxlamasını və server kimliyi yoxlamalarını olduğu kimi saxlayın, çünki başqasının saxtalaşdıra biləcəyi qeyd etimad qərarına çevrilməməlidir. DNS cavabları keşlənə bilir və zonaya nəzarət edən hər kəs tərəfindən dəyişdirilə bilir, bu da onları siyasəti kodlaşdırmaq üçün pis yer edir.

Aşkarlama dəstəyi olmayan müştəri üçün qəbul etdiyi profili və ya şlüz URL-ni paylayın və hansı məhsulun hansı üsuldan istifadə etdiyini qeyd edin. Bu qeyd növbəti administratorun qeyd əlavə edib onun hər yerdə işləyəcəyini gözləməsinin qarşısını alır. SRV spesifikasiyası hədəflər arasında seçimi təsvir edir və onu avtorizasiya mexanizmi kimi oxumaq faydalı qeydin təhlükəsizlik fərziyyəsinə çevrilmə yoludur. Qəsdən yayımlayın, etiketi sənədlərinizdə adlandırın və müştəriyə bunların hər hansı birinin əhəmiyyətli olub-olmadığına qərar verən komponent kimi baxın.