Λίστα επιτρεπόμενων τελικών σημείων VPN: Η ανανέωση DNS που ξέχασες

Η πληκτρολόγηση του vpn.example.com σε μια εξαίρεση τείχους προστασίας μοιάζει με συνδρομή στο DNS. Αυτό που συνήθως συμβαίνει είναι μια μετάφραση κατά τη φόρτωση, μετά την οποία ο κανόνας κρατά διευθύνσεις και τίποτα δεν τις ανανεώνει. Δύο συστατικά μοιράζονται τώρα τη δουλειά: ο επιλυτής που απαντά και το τείχος προστασίας που αποθηκεύει. Οι περισσότερες διακοπές τελικών σημείων ξεκινούν εκεί όπου αυτή η παράδοση δεν σχεδιάστηκε ποτέ.

Ένα όνομα κεντρικού υπολογιστή σε κανόνα δεν είναι ζωντανή συνδρομή

Ορισμένα εργαλεία επιλύουν ένα όνομα όταν φορτώνεται η διαμόρφωση· άλλα κρατούν ένα όνομα κεντρικού υπολογιστή και το επιλύουν ξανά με το δικό τους πρόγραμμα· άλλα δέχονται μόνο διευθύνσεις. Η ορατή διαμόρφωση σπάνια δηλώνει ποια περίπτωση ισχύει. Τα παραδείγματα τεκμηρίωσης συνήθως υποθέτουν την περίπτωση φόρτωσης, γι' αυτό η διαφορά εκπλήσσει τους ανθρώπους κατά τη μετανάστευση. Διάβασε τη συμπεριφορά της υλοποίησης πριν υποθέσεις ότι μια αλλαγή διεύθυνσης θα γίνει αντιληπτή, επειδή μια παλιά λίστα επιτρεπόμενων μοιάζει ακριβώς με μια που λειτουργεί μέχρι να μετακινηθεί το τελικό σημείο.

Ένας κανόνας που ονομάζει τον σωστό κεντρικό υπολογιστή μπορεί ακόμη να επιτρέπει τη λάθος διεύθυνση. Αυτό το κενό είναι ο μύθος, όχι ορθογραφικό λάθος.

Το TTL της προσωρινής μνήμης δεν είναι το χρονόμετρο του τείχους προστασίας σου

Οι εγγραφές DNS έχουν χρόνο ζωής, και οι επιλυτές αποθηκεύουν απαντήσεις για αυτή την περίοδο. Η προδιαγραφή DNS ορίζει αυτή τη συμπεριφορά προσωρινής αποθήκευσης, αλλά διέπει δεδομένα DNS, όχι το ξεχωριστό απόθεμα διευθύνσεων ενός τείχους προστασίας. Ένα σύντομο TTL δεν δημιουργεί εργασία ανανέωσης εκεί που δεν υπάρχει. Η προσωρινή αποθήκευση συμβαίνει και σε περισσότερα από ένα επίπεδα, οπότε η απάντηση που βλέπει ένα τερματικό μπορεί να μην είναι αυτή που είδε το τείχος προστασίας.

Κάνε τρεις ερωτήσεις στο πραγματικό προϊόν: πότε επιλύει, πού αποθηκεύει το αποτέλεσμα και τι πυροδοτεί μια ενημέρωση. Αν η απάντηση είναι μόνο κατά την εκκίνηση, μια μακρόβια συνεδρία μπορεί να επιβιώσει της διεύθυνσης στην οποία έγινε δεκτή.

dig +short vpn.example.com
resolvectl query vpn.example.com

Σχεδίασε την ανανέωση και την αποτυχία ως μία πολιτική

Μια συντηρούμενη εξαίρεση χρειάζεται ρητές απαντήσεις: τι πυροδοτεί μια ανανέωση πριν ο πελάτης επιλέξει νέα διεύθυνση, πώς αλλάζει το επιτρεπόμενο σύνολο χωρίς να ανοίγει ένα ευρύ προσωρινό παράθυρο, και πότε αφαιρούνται οι παρωχημένες εγγραφές. Γράψε αυτές τις απαντήσεις δίπλα στον κανόνα.

Επίλεξε τη συμπεριφορά αποτυχίας σκόπιμα. Το να κρατήσεις την παλιά διεύθυνση μπορεί να διατηρήσει μια συνεδρία και να αφήσει μια παρωχημένη άδεια· το να καθαρίσεις το σύνολο μπορεί να εμποδίσει την ανάκτηση. Κανένα από τα δύο δεν πρέπει να είναι τυχαίο αποτέλεσμα αποτυχημένης αναζήτησης. Γράψε τη συμπεριφορά που επέλεξες στο runbook ώστε ο επόμενος χειριστής να μην αυτοσχεδιάζει υπό πίεση.

Κράτησε στενό και το bootstrap DNS. Μια άνευ όρων εξαίρεση δημόσιου επιλυτή είναι άμεση διαδρομή DNS για ό,τι ταιριάζει, όχι μόνο για το όνομα του τελικού σημείου.

Απόδειξε την αλλαγή του τελικού σημείου, όχι την πρώτη σύνδεση

Χρησιμοποίησε τον υποστηριζόμενο διαχειριστή του πελάτη αν συντονίζει ήδη την επίλυση και τον αποκλεισμό. Σε κεντρικό υπολογιστή PF που διαχειρίζεται ο ιστότοπος, κράτησε την ιδιοκτησία και το σχέδιο ανάκτησης του ιστότοπου αντί να αντιγράψεις σύνταξη πίνακα ονομάτων κεντρικών υπολογιστών από άλλη πλατφόρμα με διαφορετική συμπεριφορά κύκλου ζωής.

Με μια εγκεκριμένη, αβλαβή δοκιμή, σύγκρινε τη διεύθυνση που επιλέγει ο πελάτης με το ενεργό επιτρεπόμενο σύνολο πριν και μετά από μια ελεγχόμενη αλλαγή. Κάλυψε μια αποτυχημένη αναζήτηση, τη διαγραφή μιας εγγραφής που δεν είναι πλέον έγκυρη και, όπου υποστηρίζεται, μια διαφορετική οικογένεια διευθύνσεων. Η προοριζόμενη σήραγγα πρέπει να ανακάμψει ενώ η άσχετη άμεση κίνηση παραμένει υπό πολιτική. Μια επιτυχημένη πρώτη σύνδεση αποδεικνύει μόνο ότι η αρχική μετάφραση έτυχε να είναι σωστή.