Pam y peidiodd eich rheol tiwnelu hollt â chyd-fynd â gwasanaeth

Mae tiwnelu hollt fel arfer yn methu mewn un o ddau ffordd. Naill ai mae traffig a ddylai fod y tu mewn i'r tiwnel yn mynd o'i amgylch, neu mae traffig a ddylai aros allan yn cael ei dynnu i mewn. Methiant y rheol hen yw'r cyntaf, a hwn yw'r un mwy dryslyd, oherwydd bod y rheol yn cael ei gorfodi yn union fel y'i hysgrifennwyd. Yr hyn a newidiodd yw'r gyrchfan: mae'r gwasanaeth nawr yn ateb ar gyfeiriad na nododd y rheol erioed, ac nid oes dim o'i le yn y tiwnel.

Beth mae'r rheol yn ei binio a beth mae DNS yn ei ddychwelyd

Mae rheol tiwnelu hollt yn ddatganiad statig am gyrchfannau, fel arfer wedi'i fynegi fel rhagddodiad, llwybr neu restr gyfeiriadau. Mae'n cael ei gwerthuso yn erbyn cyrchfan y pecyn ar adeg anfon. Mae enw gwesteiwr yn chwiliad sy'n dychwelyd set o gyfeiriadau gyda hyd oes a chache, a gall yr ateb fod yn wahanol yn dibynnu ar y datryswr, y math o ymholiad a'r munud.

Nid yw'r ddau wrthrych hynny byth yn trafod â'i gilydd. Mae'r rheol yn parhau i gydweddu'r rhagddodiad a roddwyd iddi, mae'r gwasanaeth yn parhau i newid y cyfeiriad a rydd, ac mae'r bwlch rhyngddynt yn lledu'n ddistaw. Dyna pam mae'r symptom yn ymddangos ar ôl mudo darparwr neu adnewyddu tystysgrif yn hytrach nag ar ôl newid cyfluniad. Ni wnaeth neb olygu'r tiwnel, felly nid oes neb yn edrych ar y tiwnel, ac mae'r diagnosis yn llithro tuag at y cymhwysiad yn lle'r polisi.

Tair ffordd mae'r cydweddiad yn torri

Yr achos amlwg yw gwasanaeth sydd wedi symud: rhoddodd y gweithredwr gyfeiriad newydd iddo, dilynodd DNS, ac ni wnaeth yr eithriad. Yr ail yw teulu cyfeiriadau na chafodd ei gynnwys erioed gan y rheol, sy'n digwydd pan fo enw'n dechrau dychwelyd cofnodion AAAA y mae eithriad ar gyfer IPv4 yn unig yn eu hanwybyddu. Y trydydd yw gwahaniaeth datryswr: gall golygfa fewnol a golygfa gyhoeddus ddychwelyd cyfeiriadau gwahanol ar gyfer yr un enw, felly nid yw'r cyfeiriad y mae'ch ap yn ei ddefnyddio yr un a brofwyd gennych.

Mae cysylltiad cache yn bedwaredd amrywiaeth ac mae'n hawdd ei fethu. Efallai bod y cymhwysiad yn dal i siarad â chyfeiriad a ddatryswyd ganddo awr yn ôl, sy'n golygu nad yw'ch chwiliad newydd a'i soced agored yn cytuno ble mae'r gwasanaeth yn byw.

Darllenwch y gyrchfan y mae'r ap yn ei defnyddio mewn gwirionedd

Gofynnwch i'r system weithredu a'r tabl socedi, nid i dab porwr. Mae'r chwiliad yn ateb i beth mae'r enw'n datrysu ar hyn o bryd, ac mae'r tabl socedi yn dangos y cyfeiriad y mae'r broses wedi'i chysylltu ag ef, a allai fod yn hŷn. Rhedwch y ddau cyn ffurfio damcaniaeth, oherwydd y gwahaniaeth rhyngddynt yw'r ateb ei hun mewn tua hanner yr achosion.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Yna cymharwch â'r hyn y mae'r rheol yn ei gynnwys. Os yw'r cyfeiriad presennol y tu allan i'r eithriad ac mae'r cais yn dal i fethu, rydych wedi dod o hyd i'r achos heb gyffwrdd â chyfluniad y tiwnel. Os yw'r ap wedi'i gysylltu â chyfeiriad sy'n cyfateb i'r rheol ac mae'r cais yn dal i fethu, mae'r problem y tu hwnt i'r tiwnel a dyma'r ymchwiliad anghywir.

Trwsiwch y mecanwaith, nid y symptom

Os yw'r cynnyrch yn cefnogi cyfeiriadu cynnal yn seiliedig ar barthau, defnyddiwch ef a dilynwch ei ymddygiad adnewyddu a chwmpas dogfennedig. Mae hynny'n disodli dyfaliad statig ag ateb a gynhelir, ar gost dibynnu ar i'r nodwedd weithio fel y'i dogfennwyd.

Os yw'r cynllun yn dibynnu ar restr statig, rhowch berchennog a chynllun diweddaru iddi. Dylai'r cynllun ddweud sut y darganfyddir y cyfeiriad, pwy sy'n cymeradwyo'r newid a pha mor gyflym y disgwylir i'r rhestr ddilyn mudo darparwr. Mae rhestr heb berchennog yn ddiffyg yn y dyfodol ag achos hysbys.

Peidiwch â lledu'r eithriad i rwyd fawr gyfagos dim ond er mwyn dal pob cyfeiriad a welsoch yn ystod prawf byr. Nid yw hynny'n drwsio; mae'n newid parhaol i'r ffin ddiogelwch, a bydd yn gadael i wasanaethau diberthynas osgoi'r tiwnel yn ddistaw cyhyd ag y bydd y rheol yn bodoli.

Gwiriwch ddwy hanner y bwriad

Mae gan gynllun tiwnelu hollt ddau fwriad, a dylai trwsio gadw'r ddau. Rhaid i'r gwasanaeth gwarchodedig fynd drwy'r tiwnel, a rhaid i'r categorïau a eithrir barhau i fynd o'i amgylch. Profwch gysylltiad newydd i'r gyrchfan a drwsiwyd, yna profwch un peth y dylid aros y tu allan.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Cofnodwch y cyfeiriad newydd, y mecanwaith a ddewiswyd gennych a'r dyddiad. Y nodyn hwnnw sy'n atal y person nesaf rhag dod i'r casgliad bod y VPN wedi anwybyddu ei gyfluniad ei hun ar hap.