Mae dogfennaeth twnnel hollt angen rheol DNS wrth bob llwybr
Mae llwybr yn penderfynu yn ôl cyfeiriad, mae datryswr yn penderfynu yn ôl enw. Dogfennwch y ddau ddetholwr fesul ffrwd, pob un ag un prawf, neu bydd y nodyn yn methu pan fydd DNS yn symud.
Mae nodyn twnnel hollt sy'n dweud "mae traffig y swyddfa'n mynd drwy'r VPN" wedi dogfennu un penderfyniad ac wedi awgrymu tri arall. Ar haen pecynnau mae tabl llwybro yn dewis rhyngwyneb yn ôl cyfeiriad cyrchfan; ar haen enwau mae datryswr yn dewis gweinydd yn ôl ymholiad, ac mae'r ddau ddewis yn cael eu gwneud yn annibynnol. Dyna pam y gall rhagddodiad a ddogfennwyd yn gywir o hyd gynhyrchu peiriant sy'n datrys enw mewnol i gyfeiriad cyhoeddus, neu'n datrys dim o gwbl tra bo'r llwybr yn edrych yn berffaith.
Dau ddetholwr, un ymgais i gysylltu
Pan fydd rhaglen yn cysylltu â files.corp.example, mae dau chwiliad yn digwydd cyn bod pecyn yn bodoli. Mae'r datryswr yn penderfynu pa weinydd sy'n cael yr ymholiad, gan ddefnyddio parthau chwilio, parthau llwybro fesul cyswllt neu reol proffil benodol. Yna mae'r tabl llwybro yn penderfynu i ble mae'r cyfeiriad canlyniadol yn mynd, gan ddefnyddio'r cyfatebiaeth rhagddodiad hiraf â'r gyrchfan.
Nid oes unrhyw beth yn cysylltu'r ddau benderfyniad hynny. Gall parth preifat ateb gyda 10.20.4.11 tra bo'r tabl llwybro yn anfon 10.20.0.0/16 i'r twnnel, ac mae'r cysylltiad yn gweithio. Trowch y naill neu'r llall a bydd yn methu mewn ffordd sy'n edrych fel y llall: polisi DNS cywir ynghyd â llwybr coll yn rhoi enw wedi'i ddatrys ac amser yn dod i ben, tra bo llwybr cywir ynghyd â datryswr cyhoeddus yn rhoi cyfeiriad sy'n llwybro'n lân i'r lle anghywir.
Mae DNS gorwel hollt yn gwneud hyn yn fwy miniog. Gall yr un enw ddychwelyd cyfeiriad preifat o'r datryswr mewnol a chyfeiriad cyhoeddus o'r un sy'n wynebu'r rhyngrwyd, felly ni all nodyn sy'n cofnodi'r rhagddodiad yn unig ragweld pa gyfeiriad y bydd y cleient yn ei ddefnyddio mewn gwirionedd. Ysgrifennwch lwybr y datryswr neu mae'r cyfeiriad yn ddyfaliad.
Beth mae nodyn llwybr-yn-unig yn ei adael allan
Mae cofnod llwybr-yn-unig yn ddiwerth ar gyfer methiant mwyaf cyffredin y twnnel hollt: enwau. Mae'r defnyddiwr yn adrodd bod y fewnrwyd yn methu llwytho, mae'r twnnel i fyny, ac mae'r rhagddodiad yn bresennol. Nid oes gan bwy bynnag sy'n cymryd y tocyn unrhyw gofnod pa ddatryswr a ddylai fod wedi ateb, dim ffordd i wahaniaethu rhwng ôl-ddodiad chwilio anghywir a gweinydd wedi'i rwystro, a dim llinell sylfaen i gymharu â hi.
Yr ail hepgoriad yw'r rhestr eithriadau. Mae cynllun twnnel hollt yn cael ei ddiffinio cymaint gan yr hyn sy'n aros y tu allan i'r twnnel ag sy'n mynd i mewn iddo, ac mae'r ystodau a eithrir fel arfer y rhai sy'n torri gyntaf, oherwydd gall llwybr lleol mwy penodol neu hidlydd ar ochr y cleient ddiystyru'r bwriad heb gyffwrdd â'r proffil.
Y trydydd yw ochr bell y twnnel. Mae llwybr cleient yn rhoi'r pecyn ar y wifren yn unig; mae'n rhaid i'r porth fforio o hyd ac mae'n rhaid iddo gael llwybr yn ôl. Mae ganllaw fforio strongSwan yn atgoffa bod rheolau fforio a firewall ar y porth yn rhan o'r nodwedd, nid yn rhan o'r plymwaith y gallwch ei dybio.
Y meysydd sy'n gwneud y nodyn yn weithredadwy
Un rhes fesul ffrwd, a ffrwd yw cyrchfan ynghyd ag enw ynghyd â pherchennog. Dyma'r meysydd sy'n goroesi cwrdd â digwyddiad go iawn:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
Y rhes "ble mae'n byw" yw'r un y mae pobl yn ei hepgor. Mae rhagddodiad a wthiwyd gan y gweinydd, llwybr a ychwanegwyd gan broffil cleient a llwybr a deipiwyd i gragen yn gwahaniaethu yn y sawl sy'n gallu eu newid ac yn yr a ydynt yn goroesi ailgysylltiad. Heb y maes hwnnw, ni all y peiriannydd nesaf ddweud pa un o'r tri y mae'n edrych arno.
Un prawf fesul rheol, nid un fesul twnnel
Mae angen dau archwiliad diniwed ar bob rhes: un sy'n arfer y llwybr ac un sy'n arfer yr enw. Ar gyfer y llwybr, gofynnwch am rywbeth sy'n gorfod croesi'r twnnel a chadarnhewch y llwybr yn hytrach na'r cyrhaeddiad, er enghraifft tracert -d 10.20.4.11 ar Windows neu ip route get 10.20.4.11 ar Linux. Ar gyfer yr enw, ymholwch yr enw preifat a chofnodwch pa weinydd a atebodd, gan ddefnyddio resolvectl query files.corp.example neu dig files.corp.example yn erbyn y datryswr y mae'r nodyn yn ei enwi.
Ychwanegwch ddisgwyliad negyddol hefyd: beth ddylai ddigwydd pan fydd y twnnel i lawr. Efallai na fydd gan raglen a eithrir ar ddyfais Android neu iOS gyda blocio heb VPN wedi'i alluogi unrhyw gysylltedd o gwbl, a gall cleient bwrdd gwaith adael yr un ap yn gweithio tra bo'r twnnel yn ailgysylltu. Mae cofnodi'r ateb a fwriadwyd yn troi "torrodd y VPN fy ap" yn ddatganiad y gellir ei wirio.
Cadwch y cofnod gyda'r ffurfweddiad
Storiwch y nodyn wrth ymyl y proffil y mae'n ei ddisgrifio a'i fersiynu gyda'r proffil hwnnw. Mae dogfen mewn wici nad oes neb yn ei diweddaru yn sïon; gellir adolygu tabl yn yr un storfa â'r llwybrau a wthiwyd a pholisi'r datryswr yn yr un newid.
Pan fydd rhywbeth yn torri, cymharwch y llwybr a gymhwyswyd a'r datryswr effeithiol â'r cofnod cyn ychwanegu eithriad arall. Mae dau o'r tri achos cyffredin — hen reol gofod enwau a phroses gynorthwyol y tu allan i bolisi'r ap — yn edrych yn union fel nam VPN ac yn anweledig os mai dim ond rhagddodiadau sy'n cael eu rhestru yn y nodyn.
Cyn i chi alw'r nodyn yn barod, cadarnhewch ei fod yn ateb y rhain yn ysgrifenedig: pa ragddodiad, ar gyfer pa deulu cyfeiriadau; pa ofod enwau preifat, a atebwyd gan ba ddatryswr; pa enwau sy'n aros yn gyhoeddus yn fwriadol; ble mae pob rheol wedi'i ffurfweddu a phwy sy'n berchen arni; a'r un gorchymyn sy'n profi'r llwybr a'r un sy'n profi'r enw. Os oes unrhyw un o'r rhain ar goll, bydd y digwyddiad nesaf yn cael ei ddiagnosio o'r dechrau.