Split-tunnel dokumentazioak DNS araua behar du ibilbide bakoitzaren ondoan
Ibilbide batek helbidearen arabera erabakitzen du, resolver batek izenaren arabera. Dokumentatu bi hautatzaileak fluxu bakoitzeko, bakoitza proba batekin, bestela oharrak huts egiten du DNS aldatzen denean.
Split-tunnel ohar batek "bulegoko trafikoa VPN bidez doa" esaten badu, erabaki bat dokumentatu du eta beste hiru iradoki. Pakete geruzan, ibilbide taula batek interfazea aukeratzen du helmuga helbidearen arabera; izen geruzan, resolver batek zerbitzaria aukeratzen du kontsultaren arabera, eta bi aukerak independenteki egiten dira. Horregatik, ondo dokumentatutako prefijo batek oraindik makina bat sor dezake barne-izen bat helbide publikora ebazten duena, edo ezer ebazten ez duena ibilbidea perfektua ematen duen bitartean.
Bi hautatzaile, konexio saio bat
Aplikazio bat files.corp.example helbidera konektatzen denean, pakete bat egon baino lehen bi bilaketa gertatzen dira. Resolverrak erabakitzen du zein zerbitzarik jasoko duen kontsulta, bilaketa-domeinuak, esteka bakoitzeko ibilbide-domeinuak edo profileko arau esplizitua erabiliz. Ondoren ibilbide taulak erabakitzen du lortutako helbidea nora doan, helmugarekiko prefijo-kointzidentzia luzeena erabiliz.
Ezerk ez ditu bi erabaki horiek lotzen. Eremu pribatu batek erantzun dezake 10.20.4.11 erabiliz, bitartean ibilbide taulak 10.20.0.0/16 tunelera bidaltzen du, eta konexioak funtzionatzen du. Alderantzikatu edozein eta bestearen antza duen moduan huts egiten du: DNS politika zuzenak gehi falta den ibilbide batek ebatzitako izena eta denbora-muga ematen ditu, eta ibilbide zuzenak gehi resolver publiko batek leku okerrean garbi bideratzen den helbidea ematen du.
Split-horizon DNS-ek zorrotzago egiten du hau. Izen berak helbide pribatua itzul dezake barne-resolverretik eta helbide publikoa internetekotik, beraz prefijoa soilik erregistratzen duen oharrak ezin du aurreikusi bezeroak benetan zein helbide erabiliko duen. Idatzi resolverraren bidea edo helbidea susmoa da.
Ibilbide soilaren oharrak zer uzten duen kanpoan
Ibilbide soilaren erregistroa erabilgaitza da split-tunnel hutsegite ohikoenarentzat: izenak. Erabiltzaileak hau jakinarazten du: intraneta ez da kargatzen, tunela martxan dago, eta prefijoa han dago. Tiketa hartzen duenak ez du erregistroan zein resolverrek erantzun behar zuen, ez du bilaketa-sufijo okerra zerbitzari blokeatu batetik bereizteko modurik, ez eta alderatzeko oinarrizko lerroik ere.
Bigarren hutsunea salbuespenen zerrenda da. Split-tunnel diseinua tunelaren kanpoan geratzen denak zehazten du neurri berean nola sartzen denak, eta baztertutako tarteak izan ohi dira lehenengo hausten direnak, ibilbide lokal zehatzago batek edo bezero aldeko iragazki batek asmoa gainidatz baitezake profila ukitu gabe.
Hirugarrena tunelaren urrutiko aldea da. Bezeroaren ibilbideak paketea kablean jartzen du soilik; atebideak oraindik birbidali behar du eta itzulera-bidea izan. strongSwanen birbidaltze-gidak gogorarazten du atebideko birbidaltze- eta suebaki-arauak funtzioaren parte direla, ez suposa dezakezun iturgintzaren parte.
Oharra exekutagarri egiten duten eremuak
Fluxu bakoitzeko errenkada bat, eta fluxua helmuga gehi izena gehi jabea da. Hauek dira benetako gorabehera batekin harremanetan bizirik irauten duten eremuak:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
"Non bizi den" errenkada da jendeak saltatzen duena. Zerbitzariak bultzatutako prefijo bat, bezero-profil batek gehitutako ibilbide bat eta shell batean idatzitako ibilbide bat desberdinak dira norberak aldatu ditzakeen eta berrikonexioari eusten dioten aldetik. Eremu hori gabe, hurrengo ingeniariak ezingo du jakin hiruretatik zein ari den ikusten.
Arau bakoitzeko proba bat, ez tunel bakoitzeko
Errenkada bakoitzak bi egiaztatze kaltegabe behar ditu: bat ibilbidea probatzen duena eta bestea izena probatzen duena. Ibilbiderako, tunela zeharkatu behar duen zerbait eskatu eta bidea berretsi, irisgarritasuna baino, adibidez tracert -d 10.20.4.11 Windowsen edo ip route get 10.20.4.11 Linuxen. Izenarako, galdetu izen pribatua eta erregistratu zein zerbitzarik erantzun zuen, oharrak aipatzen duen resolverraren aurka resolvectl query files.corp.example edo dig files.corp.example erabiliz.
Gehitu itxaropen negatiboa ere: zer gertatu behar den tunela behera dagoenean. VPN gabe blokeatzea gaituta duen Android edo iOS gailu bateko aplikazio baztertu batek agian ez du konektibitaterik izango, eta mahaigaineko bezero batek aplikazio bera lanean utz dezake tunela berriz konektatzen den bitartean. Aurreikusitako erantzuna erregistratzeak "VPNak nire aplikazioa hautsi zuen" egiaztagarri den baieztapen bihurtzen du.
Gorde erregistroa konfigurazioarekin batera
Gorde oharra deskribatzen duen profilaren ondoan eta bertsionatu profil horrekin. Wikian inork eguneratzen ez duen dokumentua zurrumurrua da; bultzatutako ibilbideekin eta resolverraren politikarekin biltegi berean dagoen taula aldaketa berean berrikus daiteke.
Zerbait hausten denean, konparatu aplikatutako ibilbidea eta resolver eraginkorra erregistroarekin, beste salbuespen bat gehitu aurretik. Hiru arrazoi ohikoenetatik bik — izen-espazioko arau zaharra eta aplikazioaren politikatik kanpoko prozesu laguntzaile bat — VPN matxuraren itxura zehatza dute eta ikusezinak dira oharrak prefijoak soilik zerrendatzen baditu.
Oharra amaitutzat eman aurretik, berretsi idatziz hauei erantzuten diela: zein prefijo, zein helbide-familiatakoa; zein izen-espazio pribatu, zein resolverrek erantzunda; zein izen geratzen diren nahita publiko; non konfiguratzen den arau bakoitza eta nor den haren jabe; eta ibilbidea frogatzen duen komando bakarra eta izena frogatzen duena. Horietakoren bat falta bada, hurrengo gorabehera hutsetik diagnostikatuko da.