VPN-i lõpp-punktide lubatud loend: DNS-i värskendus, mille unustasid

vpn.example.com-i tulemüüri erandisse tippimine tundub nagu DNS-i tellimine. Tavaliselt toimub laadimise ajal tõlge, mille järel reegel hoiab aadresse ega miski ei värskenda neid. Nüüd jagavad tööd kaks komponenti: vastav lahendaja ja salvestav tulemüür. Enamik lõpp-punkti katkestusi algab seal, kus seda üleandmist ei projekteeritud kunagi.

Hostinimi reeglis ei ole elav tellimus

Mõned tööriistad lahendavad nime konfiguratsiooni laadimisel; teised hoiavad hostinime ja lahendavad selle uuesti oma ajakava järgi; veel teised võtavad vastu ainult aadresse. Nähtav konfiguratsioon ütleb harva, milline juhtum kehtib. Dokumentatsiooni näited eeldavad tavaliselt laadimisaega, mistõttu erinevus üllatab inimesi migratsiooni ajal. Loe rakenduse käitumist enne, kui eeldad, et aadressimuutus märgatakse, sest aegunud lubatud loend näeb välja täpselt nagu toimiv kuni lõpp-punkt liigub.

Reegel, mis nimetab õiget hosti, võib siiski lubada vale aadressi. See lünk on müüt, mitte kirjaviga.

Vahemälu TTL ei ole sinu tulemüüri taimer

DNS-kirjetel on eluiga ja lahendajad puhverdavad vastuseid selle perioodi jooksul. DNS-i spetsifikatsioon määratleb selle puhverdamiskäitumise, kuid see reguleerib DNS-i andmeid, mitte tulemüüri eraldi aadressihoidlat. Lühike TTL ei loo värskendustoimingut seal, kus seda pole. Puhverdamine toimub ka rohkem kui ühel kihil, seega terminali nähtav vastus ei pruugi olla see, mida tulemüür nägi.

Küsi tegelikult tootelt kolm küsimust: millal see lahendab, kuhu tulemuse salvestab ja mis käivitab värskenduse. Kui vastus on ainult käivitamisel, võib pikaajaline sessioon üle elada aadressi, millesse see lubati.

dig +short vpn.example.com
resolvectl query vpn.example.com

Kujunda värskendus ja tõrge ühe poliitikana

Hooldatav erand vajab selgesõnalisi vastuseid: mis käivitab värskenduse enne, kui klient valib uue aadressi, kuidas lubatud kogum muutub ilma laia ajutise akna avamiseta ja millal eemaldatakse aegunud kirjed. Kirjuta need vastused reegli kõrvale.

Vali tõrkekäitumine teadlikult. Vana aadressi hoidmine võib säilitada sessiooni ja jätta aegunud loa; kogumi tühjendamine võib taastamise blokeerida. Kumbki ei tohiks olla ebaõnnestunud päringu juhuslik tulemus. Kirjuta valitud käitumine runbooki, et järgmine operaator ei improviseeriks surve all.

Hoia ka alglaadimise DNS kitsas. Tingimusteta avaliku lahendaja erand on otsene DNS-i tee kõigele, millega see sobib, mitte ainult lõpp-punkti nimele.

Tõesta lõpp-punkti muutust, mitte esimest ühendust

Kasuta kliendi toetatud haldurit, kui see juba koordineerib lahendamist ja blokeerimist. Saidi hallatavas PF-hostis hoia saidi omandiõigust ja taastamisplaani, selle asemel et kopeerida hostinimede tabeli süntaksit teisest platvormist, mille elutsükli käitumine erineb.

Heakskiidetud, kahjutu testiga võrdle kliendi valitud aadressi aktiivse lubatud kogumiga enne ja pärast kontrollitud muudatust. Kata ebaõnnestunud päring, enam kehtiva kirje kustutamine ja, kus toetatud, teine aadressiperekond. Kavatsetud tunnel peaks taastuma, samal ajal kui mitteseotud otsene liiklus jääb poliitika alla. Edukas esimene ühendus tõestab ainult seda, et algne tõlge juhtus olema õige.