Enw DNS preifat neu IP yn unig? Penderfynwch cyn ei rannu

Mae dau gwestiwn yn cymysgu pan agorir gwasanaeth preifat i ddefnyddwyr o bell. Y cyntaf yw pa enw y dylai cleientiaid ei ddefnyddio; yr ail yw pa ffynonellau y dylai'r gwasanaeth eu derbyn. Atebwch nhw yn y drefn honno, oherwydd mae enw cywir y tu ôl i reol fynediad anghywir yn methu o hyd, ac ni phrofir rheol gywir y tu ôl i enw nad yw'n datrys o gwbl.

Amod un: pa lwybr datryswr sydd gan gleientiaid?

Dim ond os gall datryswr y cleient ei ateb y mae enw preifat yn gweithio. Mae hynny'n golygu bod yn rhaid i gleient o bell awdurdodedig gyrraedd gweinydd DNS sy'n dal y parth, naill ai drwy'r tiwnel neu drwy ddatryswr y mae'r sefydliad eisoes yn ei redeg ar gyfer defnyddwyr o bell. Cludiant yw'r tiwnel, nid cyfeiriadur. Mae'n rhoi llwybr i'r cleient at ddatryswr, ac nid yw'n dweud wrtho pa barth i'w ofyn amdano.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Ni fydd datryswr cyhoeddus yn dysgu parth preifat oherwydd bod y gliniadur wedi cysylltu â VPN.

Mae'r olddodiad yn haeddu'r un sylw. Defnyddiwch is-barth o barth y mae'r sefydliad yn ei reoli, fel bod perchnogaeth a chynllunio tystysgrifau'n aros yn glir. Osgowch .local: mae'r fanyleb DNS aml-ddarlledu yn clymu'r olddodiad hwnnw i ddatrysiad link-local, ac nid yw tiwnel a gyfeiriwyd yn atgynhyrchu'r ymddygiad hwnnw drosoch chi.

Amod dau: pa ffynhonnell y mae'r gwasanaeth yn ei derbyn?

Ysgrifennir rheolau derbyn yn erbyn cyfeiriadau, felly'r cwestiwn defnyddiol yw pa gyfeiriad y mae'r gwasanaeth yn ei weld ar ôl llwybrau a chyfieithu. Ar gyfer gwasanaeth enghreifftiol yn 10.20.30.40, mae cleientiaid swyddfa'n dod o 10.20.30.0/24 a chleientiaid o bell o bwll ar wahân fel 10.99.0.0/24.

Os yw porth yn cyfieithu'r pwll o bell, mae'r gwasanaeth yn gweld y cyfieithydd, ac ni fydd rheol a ysgrifennwyd ar gyfer 10.99.0.0/24 yn cyfateb.

Darllenwch hyn o ochr y gwasanaeth yn hytrach nag o ochr y cleient. Mae log gwrandäwr neu gipio pecynnau ar westeiwr y gwasanaeth yn dangos y ffynhonnell a gyrhaeddodd mewn gwirionedd; dim ond dyfaliad yw cyfeiriad y cleient ei hun am yr hyn a oroesoedd y llwybr.

Amod tri: a yw'r enw'n gysylltiedig â gwasanaeth neu â gwesteiwr?

Mae enw sy'n pwyntio at gyfeiriad un peiriant yn clymu pob cleient i'r peiriant hwnnw. Mae enw sy'n pwyntio at gydbwysedd llwyth neu gyfeiriad gwasanaeth sefydlog yn goroesi disodli'r gwesteiwr y tu ôl iddo. Dewiswch yn fwriadol, oherwydd mae newid hyn yn ddiweddarach yn golygu newid nodau tudalen pob cleient a phwnc pob tystysgrif.

Ar gyfer un gwasanaeth mewnol, mae cofnod uniongyrchol fel arfer yn iawn ac yn haws ei resymu.

Ar gyfer unrhyw beth a fydd yn cael ei ddisodli, ei ailadeiladu neu ei raddio, mae blaen sefydlog yn werth y cyfluniad ychwanegol. Mae'r prawf yn syml: os gallwch ddisodli'r cefn heb ddweud wrth ddefnyddwyr, mae'r enw'n gysylltiedig â'r gwasanaeth; os na allwch, mae'n gysylltiedig â gwesteiwr.

Profwch y ddau benderfyniad ar wahân

Datryswch yn gyntaf, yna cysylltwch. Mae prawf datrysiad sy'n dychwelyd y cyfeiriad disgwyliedig yn profi llwybr yr enw ac yn dweud dim am dderbyn. Mae prawf cysylltiad yn profi'r llwybr a'r rheol gyda'i gilydd, felly rhedwch ef dim ond ar ôl i'r datrysiad lwyddo.

curl -sv --max-time 5 https://files.corp.example/health

Yna profwch ffynhonnell waharddedig unwaith, a chofnodwch y canlyniad.

Cadwch y ddau gofnod ar wahân yn eich dogfennaeth: yr enw a'i barth, y ffynonellau a dderbynnir a pherchennog y rheol. Pan fydd un yn newid, nid oes rhaid i'r llall.

Lle mae'r penderfyniad fel arfer yn mynd o'i le

Y methiant cyffredin yw gwasanaeth a gyhoeddir o dan enw sy'n datrys yn y rhwydwaith swyddfa yn unig, gyda rheol dderbyn sy'n derbyn yr ystod swyddfa yn unig. Yna mae defnyddwyr o bell yn adrodd am wasanaeth wedi torri sydd mewn gwirionedd yn ddau hepgoriad ar wahân. Yr ail fethiant cyffredin yw'r gwrthwyneb: mae rheol dderbyn eang a ychwanegwyd i gael gwared ar broblem enw yn gadael y gwasanaeth yn gyrraeddadwy o ffynonellau na fwriadodd neb. Mae'r ddau yn hepgoriadau cyfluniad, ac o gadair y defnyddiwr maent yn edrych yr un peth.

Nid oes modd gweld y naill gamgymeriad na'r llall o un prawf llwyddiannus. Dyna pam mae'r ddau benderfyniad yn haeddu cofnodion ar wahân a phrofion ar wahân, hyd yn oed pan fo'r un person yn gwneud y ddau.

Ysgrifennwch y ddau i lawr cyn i'r gwasanaeth fynd yn fyw, oherwydd bydd y newid nesaf yn haws ei resymu. Mae'r cofnod yn fyr: un llinell ar gyfer yr enw a'i barth, un llinell ar gyfer y ffynonellau a dderbynnir a pherchennog y rheol.