Prive DNS-namme of gewoan in IP? Beslis foardat jo it diele

Kies de namme op basis fan it resolverpaad en de tagongsregel op basis fan de boarne dy't de tsjinst sjocht. Dat binne twa aparte besluten, en elk hat syn eigen test.

Twa fragen reitsje trochinoar as in prive tsjinst iepene wurdt foar fiere brûkers. De earste is hokker namme klanten brûke moatte; de twadde is hokker boarnen de tsjinst talitte moat. Beäntwurdzje se yn dy folchoarder, want in goede namme efter de ferkearde tagongsregel mislearret dochs, en in goede regel efter in namme dy't net resolvet wurdt nea test.

Bettingst ien: hokker resolverpaad hawwe klanten?

In prive namme wurket allinnich as de resolver fan 'e klant it beäntwurdzje kin. Dat betsjut dat in autorisearre fiere klant in DNS-tsjinner berikke moat dy't de sône hâldt, itsij troch de tunnel itsij troch in resolver dy't de organisaasje al foar fiere brûkers draait. De tunnel is in ferfier, gjin gids. Hy jout de klant in paad nei in resolver, en hy fertelt de klant net hokker sône te freegjen.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

In iepenbiere resolver leart gjin prive sône om't de laptop oan in VPN ferbûn is.

It efterheaksel fertsjinnet deselde omtinken. Brûk in subdomein fan in domein dat de organisaasje kontrolearret, sadat eigendom en sertifikaatplanning dúdlik bliuwe. Mij .local: de multicast-DNS-spesifikaasje bynt dat efterheaksel oan link-local-resolúsje, en in rûtearre tunnel reprodusearret dat gedrach net foar jo.

Bettingst twa: hokker boarne krijt de tsjinst?

Tagongsregels wurde tsjin adressen skreaun, dus de nuttige fraach is hokker adres de tsjinst sjocht nei routing en oersetting. Foar in foarbyldtsjinst op 10.20.30.40 komme kantoarklanten fan 10.20.30.0/24 en fiere klanten fan in aparte pool lykas 10.99.0.0/24.

As in gateway de fiere pool oerset, sjocht de tsjinst de oersetter, en in regel skreaun foar 10.99.0.0/24 sil net passe.

Lês dit fan 'e tsjinstkant yn stee fan 'e klantkant. In listenerlog of in pakketopname op 'e tsjinsthost lit de boarne sjen dy't wier oankaam; it eigen adres fan 'e klant is allinnich in gissing oer wat it paad oerlibbe.

Bettingst trije: is de namme bûn oan in tsjinst of oan in host?

In namme dy't nei it adres fan ien masine wiist, keppelt elke klant oan dy masine. In namme dy't nei in load balancer of in stabile tsjinstadres wiist, oerlibbet ferfanging fan 'e host dêrefter. Kies bewust, want dit letter feroarje betsjut de blêdwizers fan elke klant en it ûnderwerp fan elk sertifikaat feroarje.

Foar ien ynterne tsjinst is in direkt record meastentiids goed en makliker om oer nei te tinken.

Foar alles wat ferfongen, werboud of skalearre wurde sil, is in stabile frontend de ekstra konfiguraasje wurdich. De test is ienfâldich: as jo de backend ferfange kinne sûnder brûkers te fertellen, is de namme oan 'e tsjinst ferbûn; as jo dat net kinne, is er oan in host ferbûn.

Test de twa besluten apart

Resolvearje earst, ferbyn dan. In resolúsjetest dy't it ferwachte adres weromjout bewiist it nammepaad en seit neat oer tagong. In ferbiningstest bewiist it paad en de regel tegearre, dus fier him allinnich út neidat de resolúsje slagge is.

curl -sv --max-time 5 https://files.corp.example/health

Test dan ien kear in ferbeane boarne, en skriuw it resultaat op.

Hâld de twa records apart yn jo dokumintaasje: de namme en syn sône, de talitte boarnen en de eigner fan 'e regel. As ien feroaret, hoecht de oare net.

Wêr't it beslút meastentiids misgiet

De gewoane flater is in tsjinst publisearre ûnder in namme dy't allinnich op it kantoarnetwurk resolvet, mei in tagongsregel dy't allinnich it kantoarberik talit. Fiere brûkers melde dan in stikken tsjinst dy't eins twa aparte weglatingen is. De twadde gewoane flater is it omkearde: in brede tagongsregel tafoege om in nammeprobleem fuort te nimmen lit de tsjinst berikber fan boarnen dy't nimmen bidoelde. Beide binne konfiguraasjeweglatingen, en fan 'e stoel fan 'e brûker sjogge se itselde út.

Gjin fan 'e flaters is sichtber út ien slagge test. Dêrom fertsjinje de twa besluten aparte records en aparte tests, sels as deselde persoan beide nimt.

Skriuw beide op foardat de tsjinst live giet, want de folgjende feroaring sil makliker wêze om oer nei te tinken. It record is koart: ien rigel foar de namme en syn sône, ien rigel foar de talitte boarnen en de eigner fan 'e regel.

Relatearre artikelen