Povolený seznam koncových bodů VPN: aktualizace DNS, na kterou jste zapomněli

Zadání vpn.example.com do výjimky firewallu působí jako předplatné DNS. Obvykle dojde k překladu při načtení, poté pravidlo drží adresy a nic je neobnovuje. Úkol si nyní dělí dvě součásti: překladač, který odpovídá, a firewall, který ukládá. Většina výpadků koncových bodů začíná tam, kde toto předání nebylo nikdy navrženo.

Název hostitele v pravidle není živé předplatné

Některé nástroje přeloží název při načtení konfigurace; jiné drží název hostitele a překládají jej znovu podle vlastního plánu; další přijímají jen adresy. Viditelná konfigurace zřídka říká, který případ nastává. Příklady v dokumentaci obvykle předpokládají případ načtení, a proto rozdíl při migraci lidi překvapí. Přečtěte si chování implementace, než budete předpokládat, že změna adresy bude zaznamenána, protože zastaralý povolený seznam vypadá přesně jako fungující dokud se koncový bod nepřesune.

Pravidlo, které jmenuje správného hostitele, může stále propustit špatnou adresu. Tato mezera je mýtus, ne pravopisná chyba.

TTL mezipaměti není časovač vašeho firewallu

Záznamy DNS mají dobu životnosti a překladače po tuto dobu ukládají odpovědi do mezipaměti. Specifikace DNS toto chování mezipaměti definuje, ale řídí data DNS, nikoli samostatné úložiště adres firewallu. Krátké TTL nevytvoří úlohu obnovy tam, kde žádná není. Ukládání do mezipaměti probíhá i ve více vrstvách, takže odpověď, kterou vidí terminál, nemusí být ta, kterou viděl firewall.

Položte skutečnému produktu tři otázky: kdy překládá, kde ukládá výsledek a co spouští aktualizaci. Pokud je odpověď jen při spuštění, dlouhá relace může přežít adresu, ke které byla připuštěna.

dig +short vpn.example.com
resolvectl query vpn.example.com

Navrhněte obnovu a selhání jako jednu politiku

Udržovaná výjimka potřebuje výslovné odpovědi: co spustí obnovu, než klient zvolí novou adresu, jak se povolená sada mění, aniž by se otevřelo široké dočasné okno, a kdy se odstraňují zastaralé záznamy. Zapište tyto odpovědi vedle pravidla.

Chování při selhání zvolte vědomě. Zachování staré adresy může zachovat relaci a zanechat zastaralé povolení; vyčištění sady může zablokovat obnovu. Ani jedno by nemělo být náhodným výsledkem neúspěšného vyhledání. Zvolené chování zapište do runbooku, aby další operátor neimprovizoval pod tlakem.

Udržujte také bootstrap DNS úzké. Bezpodmínečná výjimka pro veřejný překladač je přímá cesta DNS pro vše, co odpovídá, nejen pro název koncového bodu.

Dokažte změnu koncového bodu, ne první připojení

Použijte klientem podporovaný správce, pokud už koordinuje překlad a blokování. Na hostiteli PF spravovaném lokalitou zachovejte vlastnictví lokality a plán obnovy, místo abyste kopírovali syntaxi tabulky názvů hostitelů z jiné platformy s odlišným chováním životního cyklu.

Se schváleným, neškodným testem porovnejte adresu, kterou klient vybírá, s aktivní povolenou sadou před kontrolovanou změnou a po ní. Pokryjte neúspěšné vyhledání, smazání záznamu, který už není platný, a tam, kde je to podporováno, jinou rodinu adres. Zamýšlený tunel by se měl obnovit, zatímco nesouvisející přímý provoz zůstane v rámci politiky. Úspěšné první připojení dokazuje jen to, že počáteční překlad byl náhodou správný.