Две VPN мрежи, един резолвер: който запише последен, печели

Два VPN клиента са свързани — един за работа и един за лабораторна мрежа, — а вътрешните имена се резолвират само за клиента, който се е свързал последен. Този модел изглежда като дефект в един от клиентите. Обикновено това е предвидим резултат от две програми, които записват една и съща конфигурация на резолвера без договорка кой притежава кое име.

Мифът: най-новият VPN притежава DNS

Няма общо правило, че най-скорошното свързване печели. Какво се случва зависи от механизма на платформата и от това как всеки клиент го записва. Клиент, който заменя файл на резолвера, дава един резултат; клиент, който добавя домейн за връзка, дава друг; клиент, който не прави нищо, оставя предишното състояние непокътнато.

Следователно наблюдаваното поведение е свойство на двете реализации, а не документиран приоритет. Да се разсъждава за него само от реда на стартиране ще е понякога правилно, а понякога грешно по начини, които трудно се възпроизвеждат. Вместо това запишете съпоставката. Дизайн, който живее в два клиента, не е дизайн.

Съпоставете пространствата от имена с резолверите

Избройте частните суфикси и резолвера, който всяка мрежа изисква, след което решете къде да отидат публичните имена. Този списък е дизайнът. Без него клиентите вземат решението случайно.

Платформа, която поддържа DNS за връзка или домейни за маршрутизация, може да изрази разделянето умишлено: един домейн отива към една връзка, друг домейн към другата, а всичко останало следва явна настройка по подразбиране. Два плоски скрипта, които презаписват един и същ файл, не могат да запазят този дизайн, защото всеки от тях смята, че притежава цялата конфигурация.

В Windows таблицата с правила за резолвиране на имена може да насочва суфикси към конкретни сървъри и VPN клиент може да инсталира правила там. Проверявайте политиката, а не списъка с адаптери, защото именно не списъкът с адаптери резолвира името.

Запазете път за първоначално зареждане

Всеки клиент трябва да намери своята крайна точка, преди да може да използва услугата, която тази точка предоставя. Ако името на хоста на крайната точка може да се резолвира само през тунела, а тунелът се нуждае от резолвирано име на хоста, имате циклична зависимост, която се проявява като таймаут на връзката. Запазете един път за първоначално зареждане извън двата тунела. Той не струва нищо до деня, в който спаси връзката.

Гледайте пътя до всеки резолвер, не само името, конфигурирано за него. Резолвер, който е достъпен само през другия тунел, се държи като липсващ, а симптомът е таймаут, а не грешка в маршрутизирането.

Припокриващите се адреси не са проблем на DNS

Две частни мрежи с един и същ диапазон адреси не могат да се поправят чрез ред на DNS. Ако и двата тунела претендират за 10.0.0.0/8, име, което се резолвира правилно, все още сочи адрес, към който хостът не може да маршрутизира правилния тунел. Това изисква решение на ниво адреси, като различни диапазони, пространство от имена или транслация, а не още една настройка на резолвера. Вземането на това решение рано предотвратява дълга обиколка през DNS конфигурация, която никога не е щяла да проработи.

Сравнете адресните назначения на двата тунела, преди да обвинявате резолвирането на имена. Когато и двете страни налагат един и същ префикс, хостът пази един маршрут за него и име, резолвирано през втория тунел, все пак попада на адрес, който първият тунел притежава. Различни диапазони, пространство от имена за всяка мрежа или транслация са поправките; след свързването на всеки клиент потвърдете, че таблицата с маршрути показва пътя, който сте имали предвид.

Докажете го с реални приложения

Изберете два хоста, които съществуват само в собственото си пространство от имена, и едно публично име, след което резолвирайте всяко през клиента, който трябва да го притежава. Правилен отговор от очаквания резолвер не доказва, че приложението достига хоста, защото маршрутът до този адрес все още може да се провали. След всяка заявка направете тест на връзката от програмата, която потребителят действително ще стартира.

Клиент със собствена опция за криптиран DNS може да заобиколи политиката, която току-що проверихте, затова проверете тази настройка като част от прегледа. След това свържете отново двата клиента в реда, който доставчикът поддържа, и повторете заявките; ако отговорите се разменят при промяна на реда, конкурентен запис все още притежава част от конфигурацията. Открийте кой компонент инсталира правилото — клиентът, профилът на операционната система или агент за управление — преди да редактирате каквото и да е. Запишете реда и притежателите, за да не ги открива следващият човек отново.