Wêrom't jo split-tunnelregel net mear by in tsjinst paste

De regel fêstiget in foarheaksel en de tsjinst is ferhuze. Lês it bestimming dat de app echt brûkt, en reparearje dan it meganisme ynstee fan de útsûndering te ferbreedzjen.

Split-tunneling mislearret meastal op ien fan twa manieren. Of ferkear dat yn de tunnel hearre moat giet der omhinne, of ferkear dat bûten bliuwe moat wurdt nei binnen lutsen. De mislearring fan de ferâldere regel is it earste soarte, en it is de mear betiizjende, om't de regel krekt sa hanthavene wurdt as er skreaun is. Wat feroare is it bestimming: de tsjinst antwurdet no op in adres dat de regel nea neamd hat, en yn de tunnel is neat mis.

Wat de regel fêstiget en wat DNS weromjout

In split-tunnelregel is in statyske útspraak oer bestimmingen, meast útdrukt as in foarheaksel, in rûte of in adreslist. Hy wurdt by it ferstjoeren ôfwage tsjin it bestimming fan it pakket. In hostnamme is in syktocht dy't in set adressen mei in libbensdoer en in cache weromjout, en it antwurd kin ferskille per resolver, per fraachtype en per minút.

Dy twa objekten ûnderhannelje nea mei elkoar. De regel bliuwt it foarheaksel passe dat er krigen hat, de tsjinst bliuwt it adres feroarjen dat er útjout, en de kleau tusken harren wreidet stilwei út. Dêrom ferskynt it symptoom nei in provider-migraasje of in sertifikaatfernijing en net nei in konfiguraasjeferoaring. Nimmen bewurke de tunnel, dus nimmen sjocht nei de tunnel, en de diagnoaze driuwt nei de applikaasje ynstee fan it belied.

Trije manieren wêrop't de oerienkomst brekt

It foar de hân lizzende gefal is in ferhuze tsjinst: de operator joech it in nij adres, DNS folge, en de útsûndering net. It twadde is in adresfamylje dy't de regel nea dekke, wat bart as in namme AAAA-records begjint werom te jaan dy't in útsûndering allinich foar IPv4 negearret. It tredde is in resolverferskil: in ynterne en in iepenbiere werjefte kinne foar deselde namme ferskate adressen weromjaan, dus it adres dat jo app brûkt is net dat wêrmei't jo testen.

In cached ferbining is in fjirde fariant en is maklik te missen. De applikaasje praat miskien noch mei in adres dat er in oere lyn oplost hat, wat betsjut dat jo frisse syktocht en syn iepen socket it net iens binne oer wêr't de tsjinst wennet.

Lês it bestimming dat de app echt brûkt

Freegje it bestjoeringssysteem en de sockettabel, net in browser-tab. De syktocht antwurdet wêr't de namme no nei oplost, en de sockettabel lit it adres sjen wêr't it proses mei ferbûn is, dat âlder wêze kin. Rin beide foar't jo in teory foarmje, want it ferskil tusken harren is yn sawat de helte fan de gefallen sels it antwurd.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Fergelykje dan mei wat de regel dekt. As it hjoeddeistige adres bûten de útsûndering falt en it fersyk noch altyd mislearret, hawwe jo de oarsaak fûn sûnder de tunnelkonfiguraasje oan te reitsjen. As de app ferbûn is mei in adres dat by de regel past en it fersyk noch altyd mislearret, sit it probleem earne foarby de tunnel en is dit it ferkearde ûndersyk.

Reparearje it meganisme, net it symptoom

As it produkt ûnderhâlden domeinbasearre stjoering stipet, brûk it dan en folgje it dokumintearre fernijings- en berikgedrach. Dat ferfangt in statyske gisking troch in ûnderhâlden antwurd, tsjin de priis fan ôfhinklikens fan it wurkjen fan de funksje sa't dokumintearre.

As it ûntwerp op in statyske list fertrout, jou it dan in eigner en in fernijingsplan. It plan moat sizze hoe't it adres ûntdutsen wurdt, wa't de feroaring goedkart en hoe fluch de list nei ferwachting in provider-migraasje folget. In list sûnder eigner is in takomstige steuring mei in bekende oarsaak.

Ferbreedzje de útsûndering net nei in grut oanbuorjend netwurk allinnich om elk adres te fangen dat jo by in koarte test seagen. Dat is gjin reparaasje; it is in permaninte feroaring fan de feiligensgrins, en it sil stilwei net-relatearre tsjinsten de tunnel omhingje litte salang't de regel bestiet.

Kontrolearje beide helten fan de bedoeling

In split-tunnelûntwerp hat twa bedoelings, en in reparaasje moat beide behâlde. De beskerme tsjinst moat troch de tunnel gean, en de útsletten kategoryen moatte der omhinne bliuwe gean. Test in frisse ferbining nei it reparaerre bestimming, test dan eat dat bûten bliuwe moat.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Skriuw it nije adres, it keazen meganisme en de datum op. Dy notysje is wat de folgjende persoan tsjinhâldt om te konkludearjen dat de VPN syn eigen konfiguraasje samar negearre hat.

Relatearre artikelen