Rändsülearvuti: püsiv nimi või fikseeritud kontori aadress?

Ava halduskonsool kodus, otsi sülearvutit nime järgi ja saad aadressi, mis lakkas kehtimast, kui see kontorist lahkus. Instinkt on kanda kontori aadress VPN-adapterile, et kõik jätkaks töötamist. See parandus rikub tavaliselt midagi muud, sest seadme leidmine, selle liikluse lubamine ja sessiooni elus hoidmine on kolm erinevat probleemi. Eraldage need enne aadressilahenduse valimist.

Eraldage kolm nõuet

Kirjuta üles, milline kolmest tegelikult ebaõnnestub. Inimene või tööriist ei leia teenust; server keeldub päringutest, sest lähteaadress pole nimekirjas; või rakendus katkeb, kui liides muutub. Tabelis näevad need ühesugused välja ja nõuavad erinevaid parandusi.

Enamik rände kaebusi maandub esimesse kategooriasse ja parandatakse DNS-is. Püsiva identiteedi nimetamine on odav ja katab esimese juhtumi. Aadressi säilitamine on kallis ja aitab teist vaid siis, kui poliitika niikuinii ümber kirjutatakse.

Tee nimest püsiv asi

Anna sülearvutile nimi, mis laheneb mis tahes aadressile, mis on kutsujale kättesaadav. Selles näites on kontori aadress 192.168.50.42, kaugjuurdepääsu pool annab 10.90.0.42 ja laptop17.corp.example järgib ühendust. Miski ei nõua, et viimane oktett ühtiks, ja selle ühtimise ümber projekteerimine loob tööd, millest pole kasu. Kirje peaks osutama aadressile, mida kutsuja saab tegelikult kasutada, mitte igale liidesele, mis sülearvutil kunagi oli.

dig +short laptop17.corp.example

Resolverid salvestavad vastuseid vahemällu, seega muudatus pole kõigile kohene. Lühikesed TTL-id aitavad ja rakenduse taasühenduse loogika aitab rohkem.

Kui lähteallowlist on tegelik piirang

Lähteallowlist näeb aadressi, mille kaitstud teenus saab, pärast igasugust tõlget. See on sageli lüüsi või NAT-aadress, mitte sülearvuti enda oma, mistõttu DNS-kirjete muutmine ei paranda kunagi tagasilükatud päringut. Uuenda poliitikat aadressi jaoks, mis tegelikult saabub, või asenda nimekiri autenditud identiteediga.

Püüa serveris üks vastuvõetud päring ja loe lähteväli, seejärel korda kaugteel. Kui kaks aadressi erinevad, vajab poliitika kahte kirjet või teist mehhanismi. Märgi mõlemad aadressid poliitikakirje juurde, et järgmine inimene näeks, miks neid on kaks. Juba samal lingil aktiivse aadressi korduskasutamine on eraldi konfliktiprobleem oma tuvastusreeglitega.

Mida järjepidevus tegelikult nõuab

Ühenduse järjepidevus on kõige raskem nõue ja kõige sagedamini valesti mõistetud. TCP-ühendust identifitseerivad mõlemad aadressid ja mõlemad pordid, seega uus kohalik aadress on teine ühendus, ükskõik mida DNS ütleb. Olulised rakendused peavad uuesti ühenduma, mis tähendab sessioonikihti või klienti, kes proovib uuesti, mitte võrgutrikki. Jälgi sessiooni liikumise ajal ja katkestus on kohene, mitte järkjärguline.

ss -tnp state established '( dport = :443 )'

MAC-aadressi kloonimine ei lahenda seda samuti. DHCP-rendi identiteet võib kasutada selgesõnalist kliendiidentifikaatorit, ja kaks liidest, mis jagavad üht identiteeti, vajavad siiski koordineeritud marsruute. Käsitle liikuvust rakenduse ja jaotuse disainina ning hoia seadme identiteet püsiv, samal ajal kui selle aadress järgib võrku.