Два VPN, адзін рэзалвер: перамагае той, хто запісаў апошнім

Два кліенты VPN падключаныя — адзін для працы, другі для лабараторнай сеткі, — і ўнутраныя імёны вырашаюцца толькі для таго кліента, які падключыўся апошнім. Гэтая карціна выглядае як памылка ў адным з кліентаў. Звычайна гэта прадказальны вынік таго, што дзве праграмы запісваюць адну і тую ж канфігурацыю рэзалвера без дамовы пра тое, каму належыць якое імя.

Міф: самы новы VPN валодае DNS

Няма агульнага правіла, што перамагае самае апошняе падключэнне. Што адбудзецца, залежыць ад механізму платформы і ад таго, як кожны кліент яго запісвае. Кліент, які замяняе файл рэзалвера, дае адзін вынік; кліент, які дадае дамен для кожнага злучэння, дае іншы; кліент, які нічога не робіць, пакідае папярэдні стан нязменным.

Такім чынам, назіраныя паводзіны — гэта ўласцівасць дзвюх рэалізацый, а не дакументаваны прыярытэт. Разважанне пра гэта толькі з парадку запуску будзе часам правільным, а часам памылковым так, што цяжка паўтарыць. Запішыце супастаўленне замест гэтага. Дызайн, які жыве ў двух кліентах, — не дызайн.

Супастаўце прасторы імёнаў з рэзалверамі

Пералічыце прыватныя суфіксы і рэзалвер, які патрабуе кожная сетка, затым вырашыце, куды павінны ісці публічныя імёны. Гэты спіс і ёсць дызайнам. Без яго кліенты прымаюць рашэнне выпадкова.

Платформа, якая падтрымлівае DNS для кожнага злучэння або дамены маршрутызацыі, можа выразіць падзел свядома: адзін дамен ідзе на адно злучэнне, другі дамен — на іншае, а ўсё астатняе ідзе па яўнаму значэнню па змаўчанні. Два плоскія скрыпты, якія перазапісваюць адзін файл, не могуць захаваць гэты дызайн, бо кожны лічыць, што валодае ўсёй канфігурацыяй.

У Windows табліца палітыкі вырашэння імёнаў можа накіроўваць суфіксы да пэўных сервераў, і кліент VPN можа ўсталёўваць там правілы. Правярайце палітыку, а не спіс адаптараў, бо менавіта не спіс адаптараў вырашае імя.

Пакіньце шлях загрузкі

Кожны кліент павінен знайсці сваю ўласную канчатковую кропку, перш чым зможа карыстацца паслугай, якую гэтая кропка дае. Калі імя хоста канчатковай кропкі можна вырашыць толькі праз тунель, а тунелю патрэбна вырашанае імя хоста, вы маеце цыклічную залежнасць, якая выглядае як тайм-аўт злучэння. Пакіньце адзін шлях загрузкі па-за абодвума тунелямі. Ён нічога не каштуе да таго дня, калі ўратуе злучэнне.

Глядзіце на шлях да кожнага рэзалвера, а не толькі на імя, наладжанае для яго. Рэзалвер, да якога можна дабрацца толькі праз другі тунель, паводзіць сябе як адсутны, і сімптом — тайм-аўт, а не памылка маршрутызацыі.

Супадальныя адрасы — не праблема DNS

Дзве прыватныя сеткі, якія выкарыстоўваюць адзін дыяпазон адрасоў, нельга выправіць парадкам DNS. Калі абодва тунелі прэтэндуюць на 10.0.0.0/8, імя, якое вырашаецца правільна, усё роўна паказвае на адрас, да якога хост не можа маршрутызаваць правільны тунель. Гэта патрабуе рашэння на ўзроўні адрасоў, такога як розныя дыяпазоны, прастора імёнаў або трансляцыя, а не яшчэ адной налады рэзалвера. Ранняе рашэнне гэтага прадухіляе доўгі аб'езд праз канфігурацыю DNS, якая ніколі не магла б працаваць.

Параўнайце прызначэнні адрасоў абодвух тунеляў, перш чым вінаваціць вырашэнне імёнаў. Калі абодва бакі прасоўваюць адзін і той жа прэфікс, хост трымае для яго адзін маршрут, і імя, вырашанае праз другі тунель, усё роўна трапляе на адрас, якім валодае першы тунель. Розныя дыяпазоны, прастора імёнаў для кожнай сеткі або трансляцыя — гэта выпраўленні; пасля падключэння кожнага кліента пацвердзіце, што табліца маршрутаў паказвае шлях, які вы мелі на ўвазе.

Дакажыце гэта рэальнымі праграмамі

Выберыце два хасты, якія існуюць толькі ў сваёй прасторы імёнаў, і адно публічнае імя, затым вырашыце кожнае праз кліент, якому яно павінна належаць. Правільны адказ ад чаканага рэзалвера не даказвае, што праграма дасягае хоста, бо маршрут да гэтага адраса ўсё яшчэ можа не спрацаваць. Пасля кожнага запыту правядзіце тэст злучэння з праграмы, якую карыстальнік фактычна запусціць.

Кліент з уласнай опцыяй шыфраванага DNS можа абысці палітыку, якую вы толькі што праверылі, таму праверце гэту наладу ў рамках агляду. Затым перападключыце абодва кліенты ў парадку, які падтрымлівае пастаўшчык, і паўтарыце запыты; калі адказы мяняюцца пры змене парадку, канкурэнтны запіс усё яшчэ валодае часткай канфігурацыі. Высветліце, які кампанент усталёўвае правіла — кліент, профіль АС або агент кіравання, — перш чым нешта рэдагаваць. Запішыце парадак і ўладальнікаў, каб наступны чалавек не адкрываў іх ізноў.