Yksityinen DNS-nimi vai pelkkä IP? Päätä ennen kuin jaat sen

Kaksi kysymystä sekoittuvat, kun yksityinen palvelu avataan etäkäyttäjille. Ensimmäinen on, mitä nimeä asiakkaiden pitäisi käyttää; toinen on, mitkä lähteet palvelun pitäisi hyväksyä. Vastaa niihin tässä järjestyksessä, sillä oikea nimi väärän käyttösäännön takana epäonnistuu silti, eikä oikeaa sääntöä nimen takana, joka ei ratkea, koskaan testata.

Ehto yksi: mikä resolverpolku asiakkailla on?

Yksityinen nimi toimii vain, jos asiakkaan resolver pystyy vastaamaan siihen. Se tarkoittaa, että valtuutetun etäasiakkaan on päästävä DNS-palvelimeen, joka pitää vyöhykettä, joko tunnelin kautta tai sellaisen resolverin kautta, jota organisaatio jo ajaa etäkäyttäjille. Tunneli on kuljetus, ei hakemisto. Se antaa asiakkaalle polun resolveriin eikä kerro, mitä vyöhykettä pitäisi kysyä.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Julkinen resolver ei opi yksityistä vyöhykettä siksi, että kannettava tietokone yhdistettiin VPN:ään.

Pääte ansaitsee saman huomion. Käytä organisaation hallitseman verkkotunnuksen aliverkkotunnusta, jotta omistajuus ja varmenteiden suunnittelu pysyvät selkeinä. Vältä .local-päätettä: multicast DNS -määritys sitoo sen pääteen link-local-ratkaisuun, eikä reititetty tunneli toista tätä käyttäytymistä puolestasi.

Ehto kaksi: minkä lähteen palvelu vastaanottaa?

Käyttösäännöt kirjoitetaan osoitteita vasten, joten hyödyllinen kysymys on, minkä osoitteen palvelu näkee reitityksen ja käännöksen jälkeen. Esimerkkipalvelulle osoitteessa 10.20.30.40 toimistoasiakkaat tulevat osoitteesta 10.20.30.0/24 ja etäasiakkaat erillisestä joukosta, kuten 10.99.0.0/24.

Jos yhdyskäytävä kääntää etäjoukon, palvelu näkee kääntäjän, eikä osoitteelle 10.99.0.0/24 kirjoitettu sääntö täsmää.

Lue tämä palvelun puolelta, älä asiakkaan puolelta. Kuuntelijan loki tai paketin sieppaus palvelun isännässä näyttää lähteen, joka todella saapui; asiakkaan oma osoite on vain arvaus siitä, mikä selvisi polusta.

Ehto kolme: onko nimi sidottu palveluun vai isäntään?

Nimi, joka osoittaa yhden koneen osoitteeseen, kytkee jokaisen asiakkaan siihen koneeseen. Nimi, joka osoittaa kuormantasaimen tai vakaan palveluosoitteen, kestää sen takana olevan isännän vaihdon. Valitse tietoisesti, sillä tämän muuttaminen myöhemmin tarkoittaa jokaisen asiakkaan kirjanmerkkien ja jokaisen varmenteen kohteen muuttamista.

Yhdelle sisäiselle palvelulle suora tietue on yleensä hyvä ja helpompi perustella.

Kaikelle, mikä korvataan, rakennetaan uudelleen tai skaalataan, vakaa etupää on lisäasetuksen arvoinen. Testi on yksinkertainen: jos voit vaihtaa taustan kertomatta käyttäjille, nimi on sidottu palveluun; jos et, se on sidottu isäntään.

Testaa kaksi päätöstä erikseen

Ratkaise ensin ja yhdistä sitten. Ratkaisutesti, joka palauttaa odotetun osoitteen, todistaa nimen polun eikä kerro mitään käyttöoikeudesta. Yhteystesti todistaa polun ja säännön yhdessä, joten suorita se vasta onnistuneen ratkaisun jälkeen.

curl -sv --max-time 5 https://files.corp.example/health

Testaa sitten kiellettyä lähdettä kerran ja kirjaa tulos.

Pidä kaksi tietuetta erillään dokumentaatiossasi: nimi ja sen vyöhyke, hyväksytyt lähteet ja säännön omistaja. Kun toinen muuttuu, toisen ei tarvitse.

Missä päätös yleensä menee pieleen

Yleinen vika on palvelu, joka on julkaistu nimen alle, joka ratkeaa vain toimistoverkossa, ja käyttösääntö, joka hyväksyy vain toimistoalueen. Etäkäyttäjät raportoivat silloin rikkinäisestä palvelusta, joka on oikeastaan kaksi erillistä puutetta. Toinen yleinen vika on päinvastainen: nimeämisongelman poistamiseksi lisätty laaja käyttösääntö jättää palvelun tavoitettavaksi lähteistä, joita kukaan ei tarkoittanut. Molemmat ovat kokoonpanon puutteita, ja käyttäjän tuolilta ne näyttävät samalta.

Kumpikaan virhe ei näy yhdestä onnistuneesta testistä. Siksi kaksi päätöstä ansaitsevat erilliset tietueet ja erilliset testit, vaikka sama henkilö tekisi molemmat.

Kirjoita molemmat muistiin ennen kuin palvelu otetaan käyttöön, sillä seuraavaa muutosta on helpompi pohtia. Tietue on lyhyt: yksi rivi nimelle ja sen vyöhykkeelle, yksi rivi hyväksytyille lähteille ja säännön omistajalle.