DNS AWS Client VPN: defnyddiwch resolver y VPC, nid yr isrwyd

Mae’r endpoint yn 10.0.8.0/24, felly rhaid i’r resolver fod yn 10.0.8.2. Dyma’r rhesymeg a glywaf amlaf, ac mae’n anghywir ddwywaith. Mae Route 53 Resolver yn ateb ar brif amrediad IPv4 y VPC plws dau, sef ar gyfer VPC o 10.0.0.0/16 mae’n 10.0.0.2, ni waeth pa isrwyd y mae’r endpoint yn ei defnyddio. Mae’r ail gamgymeriad yn dawelach: nid yw rhoi’r cyfeiriad cywir yn yr endpoint yn golygu bod system weithredu’r cleient yn gofyn unrhyw beth iddo. Mae’r ddau gamgymeriad yn rhoi’r un symptom: mae datrys enwau yn gweithio i rai cleientiaid ac yn methu i eraill.

Mae’r myth yn dechrau gyda chysylltiad yr isrwyd

Mae cysylltiad yn ymwneud â ble mae’r rhyngwynebau rhwydwaith elastig ar gyfer cysylltiadau cleientiaid yn byw, nid â pha gyfeiriad resolver sy’n bodoli. Mae isrwydi’r endpoint yn rhoi cyfeiriad i’r cleientiaid y tu mewn i’r VPC, ac nid yw pob un yn cario resolver ei hun.

Unwaith y byddwch yn gwahanu’r ddau syniad, mae’r rhifyddeg yn peidio â bod yn ddirgel, ac mae datrys problemau yn symud at y cleient, sef lle mae’r rhan fwyaf o’r achosion hyn yn gorffen mewn gwirionedd.

Cyfrifwch y cyfeiriad o brif amrediad y VPC

Cymerwch brif CIDR IPv4 y VPC ac ychwanegwch ddau at y cyfeiriad rhwydwaith. Mae 10.0.0.0/16 yn rhoi 10.0.0.2, mae 172.31.0.0/16 yn rhoi 172.31.0.2, ac mae VPC ag amrediad eilaidd yn cadw’r resolver ar yr un cynradd. Nid yw isrwyd o 10.0.8.0/24 y tu mewn i’r VPC hwnnw yn ei symud. Ysgrifennwch y cyfeiriad wrth ymyl ID y VPC cyn cyffwrdd â’r endpoint, oherwydd mae’r rhif yn briodwedd o’r VPC ac nid o’r cysylltiad.

Mae’r VPC hefyd yn ateb ar y cyfeiriad link-local 169.254.169.253. Mae’r cyfeiriad hwnnw’n gyrraeddadwy o’r tu mewn i’r VPC, ond nid yw’n gyrchfan llwybro gyffredinol i liniadur ar ben arall twnnel.

Felly mae dau gyfeiriad resolver dilys, ac nid yw’r naill na’r llall yn isrwyd plws dau.

Beth mae gosodiad yr endpoint yn ei wneud a beth nad yw

Mae gan endpoint Client VPN feysydd gweinydd DNS, a lle mae’r consol yn cynnig opsiwn resolver VPC mae’n llenwi’r un syniad. Mae eu gosod yn newid yr hyn y mae’r gwasanaeth yn ei drosglwyddo i gleientiaid wrth sefydlu cysylltiad. Nid yw’n newid yr hyn y mae cleient OpenVPN heb ei reoli yn ei wneud â’r gwerth hwnnw, oherwydd rhaid i’r cleient ei gymhwyso i’r system weithredu o hyd. O’r bwlch hwnnw y daw «mae’n gweithio ar fy Mac ond nid ar y blwch Linux».

Ar Linux, mae’r rheolwr cysylltiad yn berchen ar integreiddio’r resolver yn hytrach na’r defnyddiwr. Mae golygu /etc/resolv.conf â llaw yn profi bod y cyfeiriad yn gweithio am un sesiwn ac yna’n diflannu ar ailgysylltu, a dyna pam mae cymaint o achosion sydd wedi’u trwsio yn dychwelyd y bore wedyn.

Gwiriwch y resolver gweithredol ar y cleient ar ôl cysylltu, nid tudalen ffurfweddu’r endpoint.

Gall tunelu hollt drechu resolver cywir

Gyda thunelu hollt, dim ond y llwybrau a wthiwyd i’r twnnel sy’n cael eu defnyddio. Os nad yw cyfeiriad y resolver wedi’i orchuddio gan lwybr, mae’r ymholiad yn gadael drwy’r rhyngwyneb lleol ac mae eich llwybrydd cartref yn ateb. Mae’r cyfeiriad yn yr endpoint yn dal yn gywir ac mae’r chwiliad yn dal i fethu. Ychwanegwch y llwybr ar gyfer y resolver, yna profwch eto.

Mae amrediadau lleol sy’n gorgyffwrdd yn rhoi’r un canlyniad mewn ffordd waeth: mae’r ymholiad yn cael ateb, ond gan y gweinydd anghywir.

Peidiwch ag agor grwpiau diogelwch ar gyfer cyfeiriad Amazon DNS

Y reddf pan fydd chwiliadau’n mynd dros amser yw ychwanegu rheol sy’n caniatáu UDP 53 i gyfeiriad y resolver. Mae AWS yn dogfennu nad yw grwpiau diogelwch a ACL rhwydwaith yn hidlo traffig Amazon DNS fel y maent yn hidlo traffig i achos DNS personol. Nid yw agor y rheolau hynny’n newid dim i resolver y VPC ac mae’n ehangu’r ffin yn ddi-fudd. Mae resolver rydych chi’n ei redeg eich hun yn achos gwahanol ac mae wir angen ei reolau ei hun.

Os yw’r ddau yn ymddangos yn eich dyluniad, gwiriwch at ba un y mae’r cleient yn pwyntio mewn gwirionedd cyn golygu unrhyw reol.

Gwiriwch y llwybr, yna mesurwch rywbeth arall

Datryswch enw cyhoeddus, datryswch enw preifat sydd wedi’i gofrestru mewn parth a gynhelir yn breifat sy’n gysylltiedig â’r VPC, a darllenwch resolver gweithredol y cleient rhwng y ddau. Mae’r dilyniant hwnnw’n gwahanu «mae cyfeiriad y resolver yn anghywir» oddi wrth «nid yw’r parth yn gysylltiedig» ac oddi wrth «anwybyddodd y cleient y gosodiad». Mae gan bob un atgyweiriad gwahanol, ac nid oes yr un ohonynt yn broblem drwybwn.

Nid yw chwiliad llwyddiannus yn dweud dim am gyflymder trosglwyddo cynaliadwy, felly cadwch y ddwy sgwrs hynny ar wahân pan fyddwch yn adrodd yn ôl.