Lista dozvoljenih VPN krajnjih tačaka: DNS osvježenje koje ste zaboravili

Unošenje vpn.example.com u iznimku vatrozida izgleda kao pretplata na DNS. Obično se dogodi prevođenje pri učitavanju, nakon čega pravilo drži adrese i ništa ih ne osvježava. Dvije komponente sada dijele posao: rezolver koji odgovara i vatrozid koji skladišti. Većina prekida krajnjih tačaka počinje tamo gdje ta predaja nikada nije bila projektovana.

Ime hosta u pravilu nije živa pretplata

Neki alati rješavaju ime kada se konfiguracija učita; drugi drže ime hosta i ponovo ga rješavaju po vlastitom rasporedu; treći prihvataju samo adrese. Vidljiva konfiguracija rijetko kaže koji. Primjeri u dokumentaciji obično pretpostavljaju slučaj učitavanja, zbog čega razlika iznenađuje ljude tokom migracije. Pročitajte ponašanje implementacije prije nego pretpostavite da će promjena adrese biti primijećena, jer zastarjela lista dozvoljenih izgleda baš kao ona koja radi dok se krajnja tačka ne premjesti.

Pravilo koje imenuje pravi host i dalje može propustiti pogrešnu adresu. Ta praznina je mit, a ne pravopisna greška.

TTL keša nije tajmer vašeg vatrozida

DNS zapisi nose vrijeme života, a rezolveri keširaju odgovore za taj period. DNS specifikacija definiše to ponašanje keširanja, ali njime upravlja DNS podacima, a ne zasebnim skladištem adresa vatrozida. Kratak TTL ne stvara posao osvježavanja tamo gdje ga nema. Keširanje se događa i na više slojeva, pa odgovor koji vidi terminal možda nije onaj koji je vidio vatrozid.

Postavite stvarnom proizvodu tri pitanja: kada rješava, gdje skladišti rezultat i šta pokreće osvježavanje. Ako je odgovor samo pri podizanju, dugotrajna sesija može nadživjeti adresu na koju je primljena.

dig +short vpn.example.com
resolvectl query vpn.example.com

Dizajnirajte osvježavanje i neuspjeh kao jednu politiku

Održavana iznimka zahtijeva eksplicitne odgovore: šta pokreće osvježavanje prije nego klijent izabere novu adresu, kako se dozvoljeni skup mijenja bez otvaranja širokog privremenog prozora i kada se uklanjaju zastarjeli unosi. Zapišite te odgovore pored pravila.

Namjerno izaberite ponašanje pri neuspjehu. Zadržavanje stare adrese može sačuvati sesiju i ostaviti zastarjelu dozvolu; čišćenje skupa može spriječiti oporavak. Nijedno ne smije biti slučajan rezultat neuspjelog traženja. Zapišite izabrano ponašanje u runbook da sljedeći operater ne improvizuje pod pritiskom.

Držite i bootstrap DNS uskim. Bezuslovna iznimka za javni rezolver je direktan DNS put za sve što pokriva, ne samo za ime krajnje tačke.

Dokažite promjenu krajnje tačke, a ne prvo povezivanje

Koristite klijentov podržani menadžer ako već koordinira rješavanje i blokiranje. Na PF hostu kojim upravlja lokacija, zadržite vlasništvo lokacije i plan oporavka umjesto kopiranja sintakse tabele imena hostova s druge platforme s drugačijim ponašanjem životnog ciklusa.

S odobrenim, bezopasnim testom uporedite adresu koju klijent bira s aktivnim dozvoljenim skupom prije i poslije kontrolisane promjene. Pokrijte neuspjelo traženje, brisanje unosa koji više nije valjan i, gdje je podržano, drugu porodicu adresa. Predviđeni tunel treba da se oporavi dok nepovezani direktni saobraćaj ostaje pod politikom. Uspješno prvo povezivanje dokazuje samo da je početno prevođenje slučajno bilo ispravno.