Zergatik utzi zion zure split tunnel arauak zerbitzu batekin bat egiteari

Split tunneling-ek huts egiten du normalean bi moduetako batean. Edo tunelean egon beharko lukeen trafikoa hari buelta ematen dio, edo kanpoan geratu beharko lukeen trafikoa barrura erakartzen da. Arau zaharkituaren hutsegitea lehen motakoa da, eta nahasgarriena, araua idatzita dagoen bezala betetzen delako. Aldatu dena helmuga da: zerbitzuak orain arauak inoiz izendatu ez zuen helbide batean erantzuten du, eta tunelean ez dago ezer gaizki.

Zer finkatzen duen arauak eta zer itzultzen duen DNSek

Split tunnel arau bat helburuei buruzko adierazpen estatiko bat da, normalean aurrizki, ibilbide edo helbide-zerrenda gisa adierazia. Paketearen helmugaren aurka ebaluatzen da bidaltze-unetan. Ostalari-izena bizitza-denbora eta cachea dituen helbide-multzo bat itzultzen duen bilaketa da, eta erantzuna desberdina izan daiteke ebazlearen, kontsulta-motaren eta minutuen arabera.

Bi objektu horiek ez dute inoiz elkarrekin negoziatzen. Arauak emandako aurrizkiarekin bat egiten jarraitzen du, zerbitzuak ematen duen helbidea aldatzen jarraitzen du, eta bien arteko tartea isil-isilik zabaltzen da. Horregatik agertzen da sintoma hornitzailearen migrazioaren edo ziurtagiriaren berritzearen ondoren, eta ez konfigurazio-aldaketaren ondoren. Inork ez zuen tunela editatu, beraz inork ez du tunela begiratzen, eta diagnostikoa aplikaziorantz jotzen du, politikarantz beharrean.

Bat-etortzea hausten den hiru modu

Kasurik nabarmenena lekuz aldatutako zerbitzu bat da: operadoreak helbide berria eman zion, DNSek jarraitu zuen, eta salbuespenak ez. Bigarrena arauak inoiz estali ez zuen helbide-familia bat da, hau gertatzen da izen batek IPv4rako soilik den salbuespen batek baztertzen dituen AAAA erregistroak itzultzen hasten denean. Hirugarrena ebazle-desberdintasun bat da: barne-ikuspegi batek eta ikuspegi publiko batek helbide desberdinak itzul ditzakete izen bererako, beraz zure aplikazioak erabiltzen duen helbidea ez da probatzeko erabili zenuena.

Cachean gordetako konexio bat laugarren aldaera da eta erraza da ahaztea. Baliteke aplikazioak orain dela ordubete ebatzitako helbide batekin hitz egiten jarraitzea, eta horrek esan nahi du zure bilaketa freskoak eta haren socket irekiak ez daudela ados zerbitzua non dagoen.

Irakurri aplikazioak benetan erabiltzen duen helmuga

Galdetu sistema eragileari eta socket taulari, ez nabigatzaileko fitxa bati. Bilaketak erantzuten du izena oraintxe bertan zertara ebazten den, eta socket taulak prozesua konektatuta dagoen helbidea erakusten du, zaharragoa izan daitekeena. Exekutatu biak teoria bat osatu aurretik, bien arteko aldea bera baita erantzuna kasuen erdietan gutxi gorabehera.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Ondoren alderatu arauak estaltzen duenarekin. Uneko helbidea salbuespenetik kanpo badago eta eskaerak huts egiten jarraitzen badu, kausa aurkitu duzu tunelaren konfigurazioa ukitu gabe. Aplikazioa arauarekin bat datorren helbide batera konektatuta badago eta eskaerak huts egiten jarraitzen badu, arazoa tuneletik harago dago eta hau da ikerketa okerra.

Konpondu mekanismoa, ez sintoma

Produktuak domeinuan oinarritutako gidaritza mantendua onartzen badu, erabili eta jarraitu haren dokumentatutako freskatze- eta esparru-jokabidea. Horrek estatiko den susmo bat erantzun mantendu batekin ordezkatzen du, funtzioak dokumentatutako moduan funtzionatzearen mende egotearen kostuan.

Diseinua zerrenda estatiko baten mende badago, eman jabe bat eta eguneratze-plan bat. Planak esan beharko luke nola aurkitzen den helbidea, nork onartzen duen aldaketa eta zer nolako azkartasunez espero den zerrendak hornitzailearen migrazioa jarraitzea. Jaberik gabeko zerrenda etorkizuneko eten bat da, kausa ezaguna duena.

Ez zabaldu salbuespena inguruko sare handi batera, proba labur batean ikusi zenuen helbide bakoitza harrapatzeko soilik. Hori ez da konponketa bat; segurtasun-mugaren aldaketa iraunkorra da, eta isil-isilik utziko die erlazionatutakoak ez diren zerbitzuei tuneletik kanpo ibiltzen araua existitzen den bitartean.

Egiaztatu asmoaren bi erdiak

Split tunnel diseinu batek bi asmo ditu, eta konponketa batek biak gorde beharko lituzke. Zerbitzu babestuak tuneletik pasa behar du, eta kanpoan utzitako kategoriek hari buelta ematen jarraitu behar dute. Probatu konexio fresko bat konpondutako helmugara, eta gero probatu kanpoan geratu behar den zerbait.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Idatzi helbide berria, aukeratu zenuen mekanismoa eta data. Ohar hori da hurrengo pertsonari VPNak bere konfigurazioa ausaz baztertu zuela ondorioztatzea eragozten diona.