Twa VPN's, ien resolver: wa't lêst skriuwt, wint

Twa VPN-kliïnten binne ferbûn, ien foar wurk en ien foar in laboratoariumnetwurk, en ynterne nammen wurde allinnich oplost foar de kliïnt dy't lêst ferbûn is. Dat patroan liket in bug yn ien fan 'e kliïnten. Meastentiids is it it foarsisbere resultaat fan twa programma's dy't deselde resolver-konfiguraasje skriuwe sûnder ôfspraak oer wa't hokker namme besit.

De myte: de nijste VPN besit DNS

Der is gjin algemiene regel dat de meast resinte ferbining wint. Wat der bart, hinget ôf fan it platfoarmmeganisme en fan hoe't elke kliïnt it skriuwt. In kliïnt dy't in resolver-bestân ferfangt, leveret ien útkomst; in kliïnt dy't in domein per keppeling tafoegt, leveret in oare; in kliïnt dy't neat docht, lit de foarige steat ûnoantaaste.

Dat waarneamde gedrach is dus in eigenskip fan 'e twa ymplemintaasjes, gjin dokumintearre prioriteit. Redenearjen oer allinnich de startfolchoarder sil soms goed wêze en soms ferkeard op manieren dy't dreech te reprodusearjen binne. Skriuw de karte op ynstee. In ûntwerp dat yn twa kliïnten libbet, is gjin ûntwerp.

Karteer nammeromten nei resolvers

Lis de partikuliere efterheaksels en de resolver op dy't elk netwurk fereasket, en beslút dan wêr't iepenbiere nammen hinne moatte. Dy list is it ûntwerp. Sûnder dy list nimme de kliïnten it beslút by ûngelok.

In platfoarm dat DNS per keppeling as routingdomeinen stipet, kin de splitsing bewust útdrukke: ien domein giet nei ien keppeling, in oar domein nei de oare, en al it oare folget in eksplisite standert. Twa platte skripts dy't deselde bestân oerskriuwe, kinne dat ûntwerp net behâlde, om't elk leaut dat hy de hiele konfiguraasje besit.

Op Windows kin de beliedstabel foar namme-oplossing efterheaksels nei spesifike servers stjoere, en in VPN-kliïnt kin dêr regels ynstallearje. Kontrolearje it belied ynstee fan 'e adapterlist, om't it net de adapterlist is dy't de namme oplost.

Hâld in bootstrap-paad

Elke kliïnt moat syn eigen einpunt fine foardat er de tsjinst brûke kin dy't dat einpunt biedt. As de hostnamme fan it einpunt allinnich troch de tunnel oplost wurde kin, en de tunnel de oploste hostnamme nedich hat, hast in sirkelfoarmige ôfhinklikens dy't as in ferbiningstiidferrin ferskynt. Hâld ien bootstrap-paad bûten beide tunnels. It kostet neat oant de dei dat it de ferbining rêdt.

Sjoch nei it paad nei elke resolver, net allinnich de namme dy't dêrfoar konfigurearre is. In resolver dy't allinnich troch de oare tunnel berikber is, hâldt him as in ûntbrekkende, en it symptoom is in tiidferrin ynstee fan in routingflater.

Oerlaapjende adressen binne gjin DNS-probleem

Twa partikuliere netwurken mei deselde adresberik kinne net reparearre wurde troch DNS-folchoarder. As beide tunnels 10.0.0.0/8 opeaskje, wiist in namme dy't korrekt oplost noch altyd nei in adres dêr't de host net nei de goede tunnel routearje kin. Dat freget in oplossing op adresnivo, lykas ferskillende berikken, in nammeromte of oersetting, net noch in resolver-ynstelling. Dit betiid beslute foarkomt in lange omwei troch DNS-konfiguraasje dy't nea wurkje kinnen hie.

Fergelykje de adrestawizings fan beide tunnels foardat jo de namme-oplossing de skuld jouwe. As beide kanten deselde foarheaksel drukke, hâldt de host ien rûte dêrfoar, en in namme dy't troch de twadde tunnel oplost is, komt noch altyd op in adres telâne dat de earste tunnel besit. Ferskillende berikken, in nammeromte per netwurk of oersetting binne de reparaasjes; befêstigje nei't elke kliïnt ferbûn is dat de routingtabel it paad sjen lit dat jo bedoelden.

Bewiis it mei echte applikaasjes

Kies twa hosts dy't allinnich yn har eigen nammeromte bestean en ien iepenbiere namme, en los dan elk op fia de kliïnt dy't it besitte moatte soe. In korrekt antwurd fan 'e ferwachte resolver bewiist net dat de applikaasje de host berikt, om't de rûte nei dat adres noch altyd mislearje kin. Lit elke opfraach folgje troch in ferbiningstest fanút it programma dat de brûker echt draaie sil.

In kliïnt mei syn eigen fersifere DNS-opsje kin it belied dat jo krekt ferifiearre hawwe omgean, dus kontrolearje dy ynstelling as ûnderdiel fan 'e resinsje. Ferbyn dan beide kliïnten op 'e nij yn 'e folchoarder dy't de leveransier stipet en werhelje de opfragen; as de antwurden wikselje as de folchoarder feroaret, besit in konkurrearjende skriuwer noch in part fan 'e konfiguraasje. Fyn út hokker komponint de regel ynstallearret - de kliïnt, it OS-profil of in behearagent - foardat jo wat bewurkje. Skriuw de folchoarder en de eigners op, sadat de folgjende persoan se net op 'e nij ûntdekke moat.