Dva VPN, jeden resolver: vyhrává ten, kdo zapisoval poslední

Jsou připojeni dva klienti VPN, jeden pro práci a jeden pro laboratorní síť, a interní názvy se překládají jen pro klienta, který se připojil jako poslední. Tento vzorec vypadá jako chyba v jednom z klientů. Obvykle je to předvídatelný výsledek dvou programů, které zapisují stejnou konfiguraci resolveru bez dohody o tom, komu patří které jméno.

Mýtus: nejnovější VPN vlastní DNS

Neexistuje obecné pravidlo, že vyhrává nejnovější připojení. Co se stane, závisí na mechanismu platformy a na tom, jak ho každý klient zapisuje. Klient, který nahradí soubor resolveru, dá jeden výsledek; klient, který přidá doménu pro spojení, dá jiný; klient, který nic neudělá, ponechá předchozí stav nedotčený.

Pozorované chování je tedy vlastností obou implementací, nikoli dokumentovanou prioritou. Uvažovat o něm jen podle pořadí spuštění bude někdy správné a někdy špatné způsoby, které se těžko reprodukují. Raději mapování zapište. Návrh, který žije ve dvou klientech, není návrh.

Přiřaďte jmenné prostory k resolverům

Vyjmenujte privátní přípony a resolver, který každá síť vyžaduje, a pak rozhodněte, kam mají jít veřejná jména. Ten seznam je návrh. Bez něj klienti rozhodují náhodou.

Platforma, která podporuje DNS pro spojení nebo směrovací domény, může rozdělení vyjádřit záměrně: jedna doména jde na jedno spojení, jiná doména na druhé a vše ostatní následuje výslovnou výchozí hodnotu. Dva ploché skripty přepisující stejný soubor tento návrh nezachovají, protože každý z nich věří, že vlastní celou konfiguraci.

Ve Windows může tabulka zásad překladu názvů směrovat přípony na konkrétní servery a klient VPN tam může instalovat pravidla. Kontrolujte zásady, ne seznam adaptérů, protože název nepřekládá seznam adaptérů.

Ponechte si zaváděcí cestu

Každý klient musí najít svůj vlastní koncový bod, než může použít službu, kterou tento bod poskytuje. Pokud lze název hostitele koncového bodu přeložit jen přes tunel a tunel potřebuje přeložený název hostitele, máte kruhovou závislost, která se projeví jako časový limit připojení. Ponechte jednu zaváděcí cestu mimo oba tunely. Nic nestojí až do dne, kdy zachrání připojení.

Sledujte cestu ke každému resolveru, ne jen název pro něj nastavený. Resolver dostupný jen přes druhý tunel se chová jako chybějící a příznakem je časový limit, nikoli chyba směrování.

Překrývající se adresy nejsou problém DNS

Dvě privátní sítě se stejným rozsahem adres nelze opravit pořadím DNS. Pokud oba tunely nárokují 10.0.0.0/8, název, který se přeloží správně, přesto ukazuje na adresu, kterou hostitel nedokáže směrovat do správného tunelu. To vyžaduje řešení na úrovni adres, jako jsou odlišné rozsahy, jmenný prostor nebo překlad, ne další nastavení resolveru. Včasné rozhodnutí zabrání dlouhé oklice přes konfiguraci DNS, která nikdy neměla fungovat.

Porovnejte přiřazení adres obou tunelů, než obviníte překlad názvů. Když obě strany protlačují stejný prefix, hostitel si pro něj ponechá jednu trasu a název přeložený přes druhý tunel přesto skončí na adrese, kterou vlastní první tunel. Odlišné rozsahy, jmenný prostor pro každou síť nebo překlad jsou opravy; po připojení každého klienta potvrďte, že směrovací tabulka ukazuje cestu, kterou jste zamýšleli.

Dokažte to skutečnými aplikacemi

Vyberte dva hostitele, kteří existují jen ve svém vlastním jmenném prostoru, a jeden veřejný název, pak každý přeložte přes klienta, kterému má patřit. Správná odpověď od očekávaného resolveru nedokazuje, že se aplikace k hostiteli dostane, protože trasa k této adrese může stále selhat. Po každém dotazu proveďte test připojení z programu, který uživatel skutečně spustí.

Klient s vlastní volbou šifrovaného DNS může obejít zásady, které jste právě ověřili, proto toto nastavení zkontrolujte jako součást revize. Poté znovu připojte oba klienty v pořadí, které dodavatel podporuje, a dotazy zopakujte; pokud se odpovědi při změně pořadí prohodí, konkurenční zapisovatel stále vlastní část konfigurace. Než cokoli upravíte, zjistěte, která komponenta pravidlo instaluje - klient, profil operačního systému nebo agent správy. Zapište pořadí a vlastníky, aby je příští člověk nemusel znovu objevovat.