DNS AWS Client VPN-n: erabili VPC-ren resolver-a, ez azpisarea
AWS Client VPN endpoint baten resolver-a VPC-ren oinarrizko barrutia gehi bi da, ez azpisare bakoitza gehi bi. Ezarri, bideratu, eta gero egiaztatu bezeroa.
Endpoint-a 10.0.8.0/24 sarean dago, beraz resolver-a 10.0.8.2 izan behar da. Hau da gehien entzuten dudan arrazoiketa, eta bitan okerra da. Route 53 Resolver-ek VPC-ren oinarrizko IPv4 barrutian gehi bi erantzuten du, eta 10.0.0.0/16 VPC batentzat 10.0.0.2 da, endpoint-ak zein azpisare erabiltzen duen alde batera. Bigarren errorea isilagoa da: helbide zuzena endpoint-ean jartzeak ez du esan nahi bezeroaren sistema eragileak inoiz ezer galdetuko dionik. Bi erroreek sintoma bera ematen dute: izenen ebazpena bezero batzuetan funtzionatzen du eta besteetan huts egiten du.
Mitoa azpisarearen loturarekin hasten da
Lotura bezero konexioetarako sare interfaze elastikoak non dauden da kontua, ez zein resolver helbide dagoen. Endpoint-aren azpisareek VPC barruko helbidea ematen diete bezeroei, eta ez du bakoitzak bere resolver-a eramaten.
Bi ideia horiek bereizten dituzunean, aritmetika ez da misteriotsua izateari uzten, eta arazoen konponketa bezeroarengana pasatzen da, han amaitzen baitira kasu hauetako gehienak.
Kalkulatu helbidea VPC-ren oinarrizko barrutitik
Hartu VPC-ren oinarrizko IPv4 CIDR-a eta gehitu bi sare helbideari. 10.0.0.0/16-k 10.0.0.2 ematen du, 172.31.0.0/16-k 172.31.0.2, eta bigarren barruti bat duen VPC batek resolver-a oinarrizkoan mantentzen du. VPC horren barruko 10.0.8.0/24 azpisare batek ez du aldatzen. Idatzi helbidea VPC ID-aren ondoan endpoint-a ukitu aurretik, zenbakia VPC-ren propietatea delako, ez konexioarena.
VPC-ak link-local 169.254.169.253 helbidean ere erantzuten du. Helbide hori VPC barrualdetik iristeko modukoa da, baina ez da tunel baten beste muturrean dagoen ordenagailu baterako helburu bideratu orokorra.
Beraz, bi resolver helbide baliozko daude, eta bat ere ez da azpisarea gehi bi.
Zer egiten duen endpoint ezarpenak eta zer ez
Client VPN endpoint-ak DNS zerbitzari eremuak ditu, eta kontsola-k VPC resolver aukera eskaintzen duen tokian ideia bera betetzen du. Hauek ezartzeak zerbitzuak konexioa ezartzean bezeroei ematen diena aldatzen du. Ez du aldatzen kudeatu gabeko OpenVPN bezero batek balio horrekin egiten duena, bezeroak sistema eragilean aplikatu behar baitu oraindik. Hutsune horretatik dator «nire Mac-en funtzionatzen du, baina ez Linux makinan».
Linux-en resolver integrazioa konexio kudeatzailearena da, ez erabiltzailearena. /etc/resolv.conf eskuz editatzeak frogatzen du helbidea saio bakar baterako funtzionatzen duela eta gero desagertu egiten dela berriz konektatzean — horregatik konpondutako kasu asko hurrengo goizean itzultzen dira.
Egiaztatu bezeroan resolver aktiboa konektatu ondoren, ez endpoint-aren konfigurazio orria.
Split tunneling-ek resolver zuzena gaindi dezake
Split tunneling-ekin tunelera bultzatutako bideak soilik erabiltzen dira. Resolver helbidea bide batek estaltzen ez badu, kontsulta tokiko interfazetik irteten da eta etxeko router-ak erantzuten du. Endpoint-eko helbidea zuzena da oraindik eta bilaketak huts egiten du oraindik. Gehitu resolver-rako bidea eta probatu berriro.
Tokiko barruti gainjarriek emaitza bera ematen dute modu desatseginagoan: kontsultak erantzuna jasotzen du, baina zerbitzari okerraren eskutik.
Ez ireki segurtasun taldeak Amazon DNS helbiderako
Bilaketek denbora agortzen dutenean senak UDP 53 resolver helbidera uzten duen araua gehitzea dio. AWS-k dokumentatzen du segurtasun taldeek eta sare ACL-ek ez dutela Amazon DNS trafikoa iragazten DNS instantzia propio baterako trafikoa iragazten duten bezala. Arau horiek irekitzeak ez du ezer aldatzen VPC resolver-rako eta muga arrazoirik gabe zabaltzen du. Zuk zeuk kudeatzen duzun resolver-a beste kasu bat da eta bai behar dituela bere arauak.
Biak zure diseinuan agertzen badira, egiaztatu bezeroa zeini zuzentzen zaion arau bat editatu aurretik.
Egiaztatu bidea, gero neurtu beste zerbait
Ebatzi izen publiko bat, ebatzi VPC-rekin lotutako zona ostatatu pribatu batean erregistratutako izen pribatu bat, eta irakurri bi horien artean bezeroaren resolver aktiboa. Segida horrek bereizten ditu «resolver helbidea okerra da», «zona ez dago lotuta» eta «bezeroak ezarpena alde batera utzi du». Bakoitzak konponbide ezberdina du, eta bat ere ez da errendimendu arazoa.
Bilaketa arrakastatsuak ez du ezer esaten transferentzia abiadura iraunkorraz, beraz mantendu bi elkarrizketa horiek bereizita txostena egitean.