Δρομολόγηση VPN βάσει τομέα έναντι διαδρομών IP: ποια ταιριάζει;

Μια διαδρομή IP αντιστοιχεί σε ένα πρόθεμα διεύθυνσης και ο πυρήνας την εφαρμόζει χωρίς περαιτέρω ερωτήσεις. Ένας κανόνας VPN βάσει τομέα αντιστοιχεί σε ένα όνομα, που σημαίνει ότι κάτι στη στοίβα πρέπει να αποφασίσει ποιες διευθύνσεις σημαίνει αυτό το όνομα αυτή τη στιγμή και να κρατά την απόφαση επίκαιρη. Πρόκειται για διαφορετικούς μηχανισμούς με διαφορετικούς τρόπους αστοχίας, και οι προμηθευτές χρησιμοποιούν την ίδια λέξη για και τα δύο. Η σύγκρισή τους σε λίστες χαρακτηριστικών χάνει το νόημα· συγκρίνετέ τους με το τι συμβαίνει όταν αλλάζει η απάντηση.

Ο χρήσιμος διαχωρισμός είναι ανάμεσα σε έναν κανόνα που επιλύει και σε έναν κανόνα που δεν επιλύει.

Με τι αντιστοιχεί πραγματικά κάθε κανόνας

Ένας κανόνας προθέματος αντιστοιχεί σε διευθύνσεις προορισμού σε έναν πίνακα δρομολόγησης. Τίποτα δεν επιλύεται, τίποτα δεν λήγει, και η αντιστοίχιση είναι ακριβής για κάθε πακέτο. Ένας κανόνας τομέα αντιστοιχεί στο αίτημα μιας εφαρμογής για ένα όνομα, το οποίο RFC 1034 ορίζει ως δέντρο ετικετών και όχι ως διεύθυνση. Ορισμένα προϊόντα επιλύουν το όνομα μία φορά και εγκαθιστούν τις προκύπτουσες διευθύνσεις ως διαδρομές, γεγονός που καθιστά τον κανόνα κανόνα IP με συνδεδεμένο χρονόμετρο ανανέωσης.

Μάθετε ποιο από τα δύο έχετε πριν το αποσφαλματώσετε, γιατί η αστοχία φαίνεται εντελώς διαφορετική σε κάθε περίπτωση.

Πού ζει ο κανόνας τομέα στη στοίβα

Αν το προϊόν υλοποιεί κανόνες τομέα μέσω τοπικού διακομιστή μεσολάβησης, η κίνηση πρέπει να φτάσει σε αυτόν τον διακομιστή, και οι εφαρμογές που αγνοούν τον διακομιστή μεσολάβησης του συστήματος παρακάμπτουν εντελώς τον κανόνα. Αν τους υλοποιεί επιλύοντας ονόματα και προσθέτοντας διαδρομές, οι διευθύνσεις είναι τόσο φρέσκες όσο η τελευταία ανανέωση. Αν αγκιστρώνει τον επιλυτή, η συμπεριφορά του DNS γίνεται μέρος της πολιτικής δρομολόγησης, και ένας εφεδρικός επιλυτής μπορεί να την ακυρώσει σιωπηλά.

Διαβάστε το μοντέλο του προμηθευτή και όχι την ετικέτα της ρύθμισης. Δύο πελάτες με ένα πλαίσιο που ονομάζεται Split Tunnel μπορεί να κάνουν τρία διαφορετικά πράγματα.

Συγκρίνετε τι σπάει

Τρία πράγματα σπάνε διαφορετικά. Εναλλαγή διευθύνσεων: ένα όνομα κεντρικού υπολογιστή CDN μπορεί να επιλυθεί σε διαφορετικό σύνολο διευθύνσεων μέσα σε λίγα λεπτά, οπότε μια αντιγραμμένη λίστα παλιώνει άσχημα. Εύρος υποτομέων: ένας κανόνας για το example.com μπορεί ή όχι να καλύπτει το api.example.com, και η τεκμηρίωση είναι συνήθως σαφής για το ποιο ισχύει. Αποτυχία επίλυσης: όταν ο επιλυτής αποτυγχάνει, ένας πελάτης που επιλύει μπορεί να καταφύγει στη σήραγγα της κίνησης ή στην άμεση αποστολή της.

Μόνο το δεύτερο είναι ζήτημα διαμόρφωσης. Τα άλλα δύο είναι ζητήματα σχεδιασμού για το πόσο πρόθυμο είναι το προϊόν να μαντέψει.

Πότε το πρόθεμα είναι η καλύτερη απάντηση

Για ένα σταθερό ιδιωτικό υποδίκτυο, ένα ρητό πρόθεμα είναι σαφέστερο, ταχύτερο και ευκολότερο στον έλεγχο. Επιβιώνει επίσης από μια διακοπή του επιλυτή, επειδή τίποτα δεν χρειάζεται επίλυση. Καταφύγετε σε έναν κανόνα τομέα όταν η υπηρεσία φιλοξενείται, όταν οι διευθύνσεις περιστρέφονται ή όταν πραγματικά δεν μπορείτε να απαριθμήσετε το σύνολο προορισμών. Μην καταφεύγετε σε αυτόν μόνο και μόνο επειδή το όνομα κεντρικού υπολογιστή είναι αυτό που τυχαίνει να γνωρίζετε.

Μια εικαζόμενη στατική λίστα είναι το χειρότερο και από τα δύο: φαίνεται συντηρημένη και χάνει σιωπηλά κίνηση την ημέρα που ο πάροχος προσθέτει έναν κεντρικό υπολογιστή.

Επαληθεύστε με ένα νέο αίτημα

Δοκιμάστε με ψυχρό αίτημα μετά από μια κανονική επανασύνδεση, γιατί μια σελίδα από την προσωρινή μνήμη μπορεί να μην αγγίξει ποτέ τον κανόνα. Επιλύστε το όνομα και μετά ελέγξτε πού πήγε πραγματικά η σύνδεση. dig +short app.example.com δίνει το τρέχον σύνολο διευθύνσεων, και η λίστα συνδέσεων του πελάτη σας λέει ποια διεπαφή μετέφερε τη ροή.

Επαναλάβετε μετά το διάστημα ανανέωσης που τεκμηριώνει το προϊόν. Αν το σύνολο διευθύνσεων μετατοπιστεί και ο κανόνας δεν το ακολουθεί, βρήκατε την πραγματική συμπεριφορά.

Κρατήστε την πολιτική του επιλυτή χωριστά επίσης. Ένας κανόνας τομέα χρειάζεται σωστά δεδομένα ονομάτων, αλλά δεν αποφασίζει από μόνος του ποιος επιλυτής απαντά στο ερώτημα.