DNS geografikoa eta anycast: jasotzen duzun VPN sarrera egiaztatzea

Hurbileko DNS erantzun bat konpondutako arazoa dirudi konexioa beste leku batean lurreratu arte. DNS geografikoak eta anycast-ek bideak laburtzen saiatzen dira, eta erabaki hori informazio ezberdinetatik hartzen dute. Batak ere ez du bermatzen iristen zaren atebidea irisgarria den, zure bezeroak espero duen identitatea aurkezten duen edo zure saioak nodo-aldaketa bat gainditzen duen. Beheko egiaztapenek lau galdera horiek bereizten dituzte.

Egiaztatu ebazleak norena den kokapena jakinarazten duen

Topologiarekiko sentikorra den kontsulta bati erantzuten dion zerbitzari autoritarioak galdetu zuen ebazle errekurtsiboaren helbidea ikusten du normalean, izena idatzi zuen pertsonaren helbidea ez. Ebazle zentralizatu bat zerbitzatzen dituen bezeroengandik urrun egon daiteke, eta erantzunak ebazlea islatzen du, ez haiek. Hori ez da akats bat; horrela jokatzen du protokoloak, informazio gehigarria eman ezean. EDNS bezeroaren azpisarearen zehaztapena muga zein aukerako konponbidea deskribatzen ditu.

EDNS bezeroaren azpisareak jatorrizko sarearen informazioa eraman dezake partaide bakoitzak onartzen eta gaitzen duenean. Aukerakoa da, pribatutasun eta cache ondorioak ditu, eta ez da baimena edozein ebazle publikok erabiltzailearen kokapen zehatza jakinarazten duela suposatzeko. Galdetu ebazleen operadoreei horren inguruan diseinatu aurretik.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Egiaztatu anycast bideratzeak zer erabaki zuen

Anycast-ekin, hainbat kokapenek zerbitzu-helbide bakarrerako irisgarritasuna iragartzen dute, eta sareak bezero bakoitza bere bideratzeak nahiago duen nodora eramaten du. Aukera hori BGP-k eta inguruko politikak egiten dute, ez mapako distantziak. Hurbiltasun topologikoak ere ez du, oro har, joan-etorriko errendimendu hobea esan nahi, laburra dirudien bidea pilatuta edo asimetrikoa izan baitaiteke. Eman zizuten helbideak ez du ezer esaten zein nodok erantzun zuen.

Berretsi zerbitzatzeko kokapena zerbitzuaren aldetik edo hura izendatzen duen erantzun batetik, ez DNS erantzun hutsetik. traceroute -n 198.51.100.20 jarraitu zenuen bidea erakusten du eta oraindik ez du izendatzen amaieran dagoen ostalaria, beraz irakurri bide gisa, ez erantzun gisa.

Egiaztatu saioak nodo-aldaketa bat gainditzen duen

DNS kontsulta bat laburra da eta VPN saio bat luzea, eta bien egoera-baldintzak erabat desberdinak dira. Bideratzea saioaren erdian mugi daiteke, eta hori gertatzen denean, geroagoko paketeak zure tunela inoiz ikusi ez duen nodo batera irits daitezke. Hori gainditzeko modukoa den inplementazioaren araberakoa da: egoera partekatua, berrezarpen nahita egina edo dokumentatutako hutsegitea. Helbideak berak ez du horietako bat ere ematen.

Behaketu mugimendua, suposatu beharrean. sudo tcpdump -ni any -c 20 esp kanpoko paketeak erakusten ditu bidea aldatzen den heinean, eta bikotearen helbidean bat-bateko aldaketa da mugimendua bera. Definitu nahi den portaera modu esplizituan exekutatzen duzun inplementaziorako, eta gero probatu bide-aldaketa behartuz. Diseinuak saioaren erreplikazioa suposatzen badu, izenda ezazu mekanismoa eta izenda ezazu estaltzen ez duen hutsegitea.

Egiaztatu identitateak oraindik bat egiten duen

Sarrera-puntu bakoitzak zure bezero-profilak espero duen identitatea aurkeztu behar du. Zerbitzuaren izenerako jaulkitako ziurtagiria nodo guztietan funtzionatzen du, nodo bakoitzeko ziurtagiriek bezeroa zerbait berria onartzera behartzen duten bitartean, eta hor bertan ikasten dute erabiltzaileek abisuak gainditzen. Eutsi espero den identitatea eta profila sarrera-ereduarekin bat.

Egiaztatu hori nodo ezohiko batera iritsi den bezero batetik, izan ere hori da nodo bakoitzeko ziurtagiria ikusgai bihurtzen den kasua. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com katea eta izenak inprimatzen ditu, eta bezeroak konparatzen duen hori da zehazki. Gero erabaki profila estutu behar den edo ziurtagiri-eredua aldatu behar den.

Egiaztatu erregistroa, ez soilik lehen erantzuna

Ebaluatu hiru eszenatoki eta idatzi lau gertaera bakoitzeko: sarrera normala, kokapen bat erabilgarri ez dagoela eta adostutako berreskuratze-kasua. Lau gertaerak hauek dira: erabilitako ebazlea, itzulitako helbidea, zerbitzatu zuen kokapena eta aplikazioaren emaitza freskoa. Erregistro horrek DNS hautapenaren arazoa atebidearen arazo batetik, bideratze arazo batetik edo saioaren egoera arazo batetik bereizten du. Hori gabe, laurak berdinak dirudite bezeroaren aldetik.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Exekutatu eszenatokiak sarbide-sare adierazgarrietatik eta ez soilik bulegotik, galdera osoa bezero ezberdinek benetan zein sarrera-puntutara iristen diren delako. Sare bat bateko lagina da.