DNS daearyddol ac anycast: gwirio’r fynedfa VPN a gewch

Mae ateb DNS cyfagos yn teimlo fel problem wedi’i datrys nes i’r cysylltiad lanio yn rhywle arall. Mae DNS daearyddol ac anycast ill dau yn ceisio byrhau’r llwybr, ac maent yn gwneud y penderfyniad hwnnw o wybodaeth wahanol. Nid yw’r naill na’r llall yn gwarantu bod y porth yr ydych yn ei gyrraedd ar gael, ei fod yn cyflwyno’r hunaniaeth y mae’ch cleient yn ei disgwyl, na bod eich sesiwn yn goroesi newid nod. Mae’r gwiriadau isod yn gwahanu’r pedair cwestiwn hynny.

Gwiriwch ba leoliad y mae’r datryswr yn ei adrodd mewn gwirionedd

Mae gweinydd awdurdodol sy’n ateb ymholiad sy’n sensitif i dopoleg fel arfer yn gweld cyfeiriad y datryswr ailadroddus a ofynnodd, nid cyfeiriad y person a deipiodd yr enw. Gall datryswr canolog fod ymhell o’r cleientiaid y mae’n eu gwasanaethu, ac mae’r ateb yn adlewyrchu’r datryswr yn hytrach na nhw. Nid diffyg yw hyn; dyma sut y mae’r protocol yn ymddwyn oni roddir gwybodaeth ychwanegol. Manyleb Is-rwydwaith Cleient EDNS yn disgrifio’r cyfyngiad a’r rhwymedi dewisol.

Gall EDNS Client Subnet gludo gwybodaeth rhwydwaith tarddiad pan fo pob cyfranogwr yn ei gefnogi ac yn ei alluogi. Mae’n ddewisol, mae ganddo ganlyniadau preifatrwydd a chache, ac nid yw’n ganiatâd i dybio bod unrhyw ddatryswr cyhoeddus yn adrodd union leoliad defnyddiwr. Gofynnwch i weithredwyr datryswyr cyn dylunio o’i gwmpas.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Gwiriwch beth a benderfynodd llwybro anycast

Gydag anycast, mae sawl lleoliad yn hysbysebu cyrhaeddedd ar gyfer un cyfeiriad gwasanaeth, ac mae’r rhwydwaith yn danfon pob cleient i ba bynnag nod y mae ei lwybro’n ei ffafrio. BGP a’r polisi o’i amgylch sy’n gwneud y dewis hwnnw, nid pellter ar fap. Nid yw agosrwydd topolegol fel arfer yn gyfystyr â pherfformiad cylchdaith gwell chwaith, oherwydd gall y llwybr sy’n edrych yn fyr fod yn orlawn neu’n anghymesur. Nid yw’r cyfeiriad a roddwyd i chi yn dweud dim am ba nod a atebodd.

Cadarnhewch y lleoliad gwasanaethu o ochr y gwasanaeth, neu o ateb sy’n ei enwi, yn hytrach nag o’r ateb DNS yn unig. Mae traceroute -n 198.51.100.20 yn dangos y llwybr a gymeroch ac yn dal heb enwi’r lluwr ar ei ddiwedd, felly darllenwch ef fel llwybr yn hytrach nag fel ateb.

Gwiriwch fod y sesiwn yn goroesi newid nod

Mae ymholiad DNS yn fyr ac mae sesiwn VPN yn hir, ac mae gan y ddau ofynion cyflwr hollol wahanol. Gall llwybro symud yng nghanol y sesiwn, a phan wnaiff hynny, gall pecynnau diweddarach gyrraedd nod nad yw erioed wedi gweld eich tiwnel. A yw hynny’n oroesiad yn dibynnu ar y gweithrediad: cyflwr a rennir, ailgysylltiad bwriadol, neu fethiant wedi’i ddogfennu. Nid yw’r cyfeiriad yn unig yn darparu’r un ohonynt.

Arsylwch y symudiad yn hytrach na’i dybio. Mae sudo tcpdump -ni any -c 20 esp yn dangos y pecynnau allanol wrth i’r llwybr newid, a newid sydyn yng nghyfeiriad y cymar yw’r symudiad yn digwydd. Diffiniwch yr ymddygiad arfaethedig yn benodol ar gyfer y gweithrediad a redegwch, yna profwch ef drwy orfodi newid llwybr. Os yw’r dyluniad yn tybio atgynhyrchu sesiwn, enwch y mecanwaith ac enwch y methiant nad yw’n ei gwmpasu.

Gwiriwch fod yr hunaniaeth yn dal i gyd-fynd

Rhaid i bob mynedfa gyflwyno’r hunaniaeth y mae’ch proffil cleient yn ei disgwyl. Mae tystysgrif a roddwyd ar gyfer enw’r gwasanaeth yn gweithio ar draws nodau, tra bod tystysgrifau fesul nod yn gorfodi’r cleient i dderbyn rhywbeth newydd, a dyna lle mae defnyddwyr yn dysgu clicio drwy rybuddion. Cadwch yr hunaniaeth a ddisgwylir a’r proffil yn gyson â’r model mynedfa.

Gwiriwch hyn o gleient a gyrhaeddodd nod anarferol, oherwydd dyna’r achos lle mae tystysgrif fesul nod yn dod yn weladwy. Mae openssl s_client -connect vpn.example.com:443 -servername vpn.example.com yn argraffu’r gadwyn a’r enwau, sef yn union yr hyn y mae’r cleient yn ei gymharu. Yna penderfynwch a ddylid culhau’r proffil neu newid y model tystysgrif.

Gwiriwch y cofnod, nid yr ateb cyntaf yn unig

Gwerthuswch dri senario ac ysgrifennwch bedair ffaith ar gyfer pob un: mynedfa arferol, un lleoliad yn anghyflawn, a’r achos adfer y cytunwyd arno. Y pedair ffaith yw’r datryswr a ddefnyddiwyd, y cyfeiriad a ddychwelwyd, y lleoliad a wasanaethodd, a chanlyniad cais ffres. Mae’r cofnod hwnnw’n gwahanu problem dewis DNS oddi wrth broblem porth, problem llwybro neu broblem cyflwr sesiwn. Heb hynny, mae’r pedwar yn edrych yn unfath o safbwynt y cleient.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Rhedwch y senarios o rwydweithiau mynediad cynrychioliadol yn hytrach nag o’r swyddfa yn unig, oherwydd y cwestiwn cyfan yw pa fynedfa y mae gwahanol gleientiaid yn ei chyrraedd mewn gwirionedd. Mae un rhwydwaith yn sampl o un.