Miks SRV-kirje aitab ainult klienti, kes ise selle päringu teeb

SRV-kirje lisamine teie tsooni ei õpeta ühtegi VPN-klienti seda otsima. Klient peab silti teadma, otsustama päringu saata ja käituma vastavalt sellele, mis tagasi tuleb, ning DNS ei saa pakkuda kahte esimest neist. Seetõttu on enamik ebaõnnestunud SRV-plaane DNS-i kostüümis kliendiprobleemid. Lugege kõigepealt kliendi avastamiskäitumist ja avaldage seejärel ainult see silt, mida ta tegelikult pärib.

Kirje, mida keegi ei päri, ei saa kedagi aidata

SRV avaldab teenuse asukoha; see ei teata teenust. Miski ei tõuka kirjet kliendi poole ja ükski lahendaja ei paku nime, mida pole kunagi küsitud. Otsing algab siis, kui rakendus otsustab selle teha, seega peab silt tulema toote dokumentatsioonist või tarkvara võrgus jälgimisest. Kui kliendil pole avastamissammu, muudab kirje tsooni ja mitte midagi muud.

Seetõttu võib üks toode võrgus hakata tööle, samal ajal kui teist sama muudatus ei mõjuta. Muutuja on tarkvara ja DNS-server teeb täpselt seda, mida talle öeldi. Lugege tsooni ka pärast muudatust uuesti, sest valesti trükitud silt peidab end kergesti kirjete vahele, mis kõik näevad ühesugused välja.

Lugege välju enne, kui need kirjutate

Kirje kannab nelja väärtust ja igaüks vastab erinevale küsimusele: prioriteet järjestab sihtmärgid, mida klient võib proovida, kaal jaotab koormust võrdse prioriteediga sihtmärkide vahel, port nimetab transpordipordi ja sihtmärk nimetab hosti. Spetsifikatsioon lubab ka sihtmärki ., mis tähendab, et teenus on meelega kättesaamatu, mis on kasulik vastus, mitte katkine.

Ükski neist väljadest ei kanna mandaate, sertifikaadipoliitikat ega rakenduse versiooni, ja kaalu ignoreeriv klient ühendub ikkagi, lihtsalt ilma kavandatud tasakaaluta. Sihtmärgil peavad olema oma aadressikirjed ja see peaks olema kanooniline nimi, mitte alias. Kirje avaldamine, mis osutab hostile ilma kuulajata, tekitab ühendusvea, mida loetakse DNS-veaks, ja see on kõige kallim eksitamise liik. Avaldage kogu ahel või mitte midagi sellest.

Leidke silt, mida klient tegelikult saadab

Tehke silt kindlaks tõendite põhjal, mitte oletusest toote nime kohta. Kas dokumentatsioon nimetab teenuse nime või näitab püünis päringut, mis kliendist käivitamisel lahkub. Mõlemad teed lõpevad samas kohas: täpne nimi ja tüüp, mida lahendaja vastu testida.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Võrrelge vastust avaldatud kirjega märk märgi haaval, sest allkriipsud ja lõpus olev punkt on nime osa. Tühja vastus tegelikult saadetud päringule osutab tsoonile, samas kui päringu täielik puudumine osutab kliendile, ja need leiud saadavad teid eri meeskondade juurde. Tõeline vastus näeb välja nagu allolev rida, kus prioriteet 20 kaotab iga madalama prioriteediga kirje vastu ja klient valib nimetatud sihtmärgil pordi 8443.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Ka sihtmärk peab olemas olema

Lahenduv sihtmärk ei ole sama mis teenus, mis vastab. Kontrollige sihtmärgi aadressikirjeid ja seejärel kontrollige, kas avaldatud pordil ja protokollil midagi kuulab. TCP-kirje, mis osutab ainult UDP kuulajale, on lahknevus, mida ükski tsooni muudatus ei paranda. Hoidke TTL lühike, kuni sihtmärk on muutlik, ja pikendage seda, kui nimi lakkab liikumast.

Kliendid, kes avastamise tõesti rakendavad, erinevad selle poolest, kui palju kirjest nad austavad. Mõned kasutavad ainult prioriteeti, mõned käsitlevad kaalu soovitusena ja vähesed eiravad porti ning eeldavad vaikeväärtust. Need erinevused kuuluvad teie märkmetesse sildi kõrvale, sest need selgitavad käitumist, mis muidu näib lahendaja rikkena.

Avastamine ei ole autentimine

SRV vastus ütleb, kuhu ühenduda, ja see ei ütle midagi selle kohta, keda kohale jõudes usaldada. Jätke kliendi sertifikaadi valideerimine ja serveri identiteedi kontrollid täpselt sellisteks, nagu need olid, sest kirje, mida keegi teine saab võltsida, ei tohiks saada usaldusotsuseks. DNS-vastuseid saab vahemällu salvestada ja muuta igaüks, kes tsooni kontrollib, mis teeb neist poliitika kodeerimiseks halva koha.

Ilma avastamistoetuseta kliendile jagage profiili või lüüsiga URL-i, mille see vastu võtab, ja märkige, milline toode millist meetodit kasutab. See märge takistab järgmisel administraatoril kirjet lisada ja eeldada, et see töötab kõikjal. SRV spetsifikatsioon kirjeldab sihtmärkide vahel valimist, ja selle lugemine autoriseerimismehhanismina on viis, kuidas kasulik kirje muutub turvaeelduseks. Avaldage teadlikult, nimetage silt oma dokumentatsioonis ja käsitlege klienti komponendina, mis otsustab, kas sellel kõigel on tähtsust.