Llista d’autorització d’extrems VPN: l’actualització de DNS que vas oblidar

Escriure vpn.example.com en una excepció de tallafoc sembla subscriure’s al DNS. Normalment passa una traducció en el moment de la càrrega, després de la qual la regla reté adreces i res no les actualitza. Ara dos components comparteixen la feina: el resolutor que respon i el tallafoc que emmagatzema. La majoria de caigudes d’extrems comencen on aquest traspàs mai es va dissenyar.

Un nom d’amfitrió en una regla no és una subscripció en directe

Algunes eines resolen un nom quan es carrega la configuració; d’altres conserven un nom d’amfitrió i el tornen a resoldre segons el seu propi calendari; encara d’altres només accepten adreces. La configuració visible poques vegades diu quin cas és. Els exemples de la documentació solen suposar el cas de càrrega, i per això la diferència sorprèn la gent durant una migració. Llegiu el comportament de la implementació abans de suposar que es notarà un canvi d’adreça, perquè una llista d’autorització obsoleta sembla exactament una que funciona fins que l’extrem es mou.

Una regla que anomena l’amfitrió correcte encara pot permetre l’adreça equivocada. Aquest buit és el mite, no una falta d’ortografia.

El TTL de la memòria cau no és el temporitzador del vostre tallafoc

Els registres DNS porten un temps de vida, i els resolutors fan memòria cau de les respostes durant aquest període. L’especificació DNS defineix aquest comportament de memòria cau, però regeix les dades DNS, no el magatzem d’adreces separat d’un tallafoc. Un TTL curt no crea una feina d’actualització on no n’hi ha. La memòria cau també passa a més d’una capa, de manera que la resposta que veu un terminal pot no ser la que va veure el tallafoc.

Feu tres preguntes al producte real: quan resol, on emmagatzema el resultat i què desencadena una actualització. Si la resposta només és en arrencar, una sessió de llarga durada pot sobreviure a l’adreça a la qual se la va admetre.

dig +short vpn.example.com
resolvectl query vpn.example.com

Dissenyeu l’actualització i la fallada com una sola política

Una excepció mantinguda necessita respostes explícites: què desencadena una actualització abans que el client triï una adreça nova, com canvia el conjunt permès sense obrir una finestra temporal àmplia i quan s’eliminen les entrades obsoletes. Escriviu aquestes respostes al costat de la regla.

Trieu el comportament de fallada deliberadament. Conservar l’adreça antiga pot preservar una sessió i deixar un permís obsolet; buidar el conjunt pot bloquejar la recuperació. Cap dels dos no hauria de ser un resultat accidental d’una consulta fallida. Escriviu el comportament triat al runbook perquè el següent operador no improvisi sota pressió.

Manteniu també el DNS d’arrencada estret. Una excepció incondicional de resolutor públic és un camí DNS directe per a tot el que coincideix, no només per al nom de l’extrem.

Demostreu el canvi de l’extrem, no la primera connexió

Utilitzeu el gestor suportat del client si ja coordina la resolució i el bloqueig. En un amfitrió PF gestionat pel lloc, manteniu la propietat i el pla de recuperació del lloc en lloc de copiar la sintaxi de la taula de noms d’amfitrió d’una altra plataforma amb un comportament de cicle de vida diferent.

Amb una prova aprovada i innòcua, compareu l’adreça que selecciona el client amb el conjunt permès actiu abans i després d’un canvi controlat. Cobriu una consulta fallida, l’eliminació d’una entrada que ja no és vàlida i, quan sigui compatible, una família d’adreces diferent. El túnel previst hauria de recuperar-se mentre el trànsit directe no relacionat es manté sota la política. Una primera connexió correcta només demostra que la traducció inicial va ser correcta per casualitat.