DNS le AWS Client VPN: úsáid réiteoir an VPC, ní an tsubnet

Tá an t-endpoint i 10.0.8.0/24, mar sin caithfidh an réiteoir a bheith 10.0.8.2. Sin an réasúnaíocht is minice a chloisim, agus tá sí mícheart faoi dhó. Freagraíonn Route 53 Resolver ar phríomh-raon IPv4 an VPC móide a dó, arb é 10.0.0.0/16 príomh-raon an VPC agus is é 10.0.0.2 an seoladh a fhreagraíonn sé, is cuma cén subnet a úsáideann an t-endpoint. Tá an dara earráid níos ciúine: ní chiallaíonn an seoladh ceart a chur san endpoint go bhfiafraíonn córas oibriúcháin an chliaint riamh rud ar bith de. Tugann an dá earráid an comhartha céanna: oibríonn réiteach ainmneacha do chliaint áirithe agus teipeann sé ar chliaint eile.

Tosaíonn an miotas leis an gcomhcheangal subnet

Baineann an comhcheangal le cá bhfuil na comhéadain ghréasáin leaisteacha do naisc chliaint, ní le cén seoladh réiteora atá ann. Tugann subnets an endpoint seoladh laistigh den VPC do chliaint, agus ní bhíonn a réiteoir féin ag gach ceann acu.

Nuair a scarann tú an dá smaoineamh sin, stopann an uimhríocht a bheith mistéireach agus bogann an fabhtcheartú chuig an cliant, áit a gcríochnaíonn formhór na gcásanna seo i ndáiríre.

Ríomh an seoladh ó phríomh-raon an VPC

Tóg príomh-CIDR IPv4 an VPC agus cuir a dó leis an seoladh líonra. Tugann 10.0.0.0/16 10.0.0.2, tugann 172.31.0.0/16 172.31.0.2, agus coinníonn VPC le raon tánaisteach an réiteoir ar an gceann príomhúil. Ní chorraíonn subnet de 10.0.8.0/24 laistigh den VPC sin é. Scríobh an seoladh in aice le ID an VPC sula mbaineann tú leis an endpoint, mar is maoin den VPC é an uimhir agus ní den nasc.

Freagraíonn an VPC freisin ar an seoladh link-local 169.254.169.253. Tá an seoladh sin inrochtana ó laistigh den VPC, ach ní ceann scríbe ródaithe ginearálta é do ríomhaire glúine ag ceann eile tollán.

Mar sin tá dhá sheoladh réiteora bhailí ann, agus ní hé ceachtar acu an subnet móide a dó.

Cad a dhéanann socrú an endpoint agus cad nach ndéanann

Tá réimsí freastalaí DNS ag an endpoint Client VPN, agus nuair a thairgeann an consól rogha réiteora VPC líonann sé an smaoineamh céanna. Athraíonn a socruithe an méid a thugann an tseirbhís do chliaint le linn an naisc a bhunú. Ní athraíonn sé an méid a dhéanann cliant OpenVPN neamhbhainistithe leis an luach sin, mar caithfidh an cliant fós é a chur i bhfeidhm ar an gcóras oibriúcháin. As an mbearna sin a thagann «oibríonn sé ar mo Mac ach ní ar an mbosca Linux».

Ar Linux, is le bainisteoir na nasc an comhtháthú réiteora seachas leis an úsáideoir. Cruthaíonn eagarthóireacht láimhe ar /etc/resolv.conf go n-oibríonn an seoladh do sheisiún amháin agus ansin imíonn sé ar athnascadh — is é sin an fáth a dtagann an oiread sin cásanna deisithe ar ais an mhaidin dár gcionn.

Seiceáil an réiteoir gníomhach ar an gcliant tar éis nascadh, ní leathanach cumraíochta an endpoint.

Is féidir le split tunneling réiteoir ceart a shárú

Le split tunneling ní úsáidtear ach na róid a bhrúitear isteach sa tollán. Mura bhfuil seoladh an réiteora clúdaithe ag ród, fhágann an t-iarratas an comhéadan áitiúil agus freagraíonn do ródaire baile é. Tá seoladh an endpoint fós ceart agus teipeann an chuardach fós. Cuir an ród don réiteoir leis, ansin tástáil arís.

Tugann raonta áitiúla forluiteacha an toradh céanna ar bhealach níos measa: freagraítear an t-iarratas, ach ón bhfreastalaí mícheart.

Ná oscail grúpaí slándála do sheoladh Amazon DNS

Is é an t-instinct nuair a théann cuardaigh thar am ná riail a chur leis a ligeann UDP 53 chuig seoladh an réiteora. Déanann AWS doiciméadú nach ndéanann grúpaí slándála agus ACLanna líonra trácht Amazon DNS a scagadh mar a scagann siad trácht chuig do chás DNS féin. Ní athraíonn oscailt na rialacha sin aon rud don réiteoir VPC agus leathnaíonn sé an teorainn gan chúis. Is cás difriúil é réiteoir a ritheann tú féin agus teastaíonn a rialacha féin uaidh i ndáiríre.

Má thagann an dá rud chun cinn i do dhearadh, seiceáil cé acu a bhfuil an cliant dírithe air i ndáiríre sula n-eagraíonn tú aon riail.

Fíoraigh an cosán, ansin tomhais rud éigin eile

Réitigh ainm poiblí, réitigh ainm príobháideach atá cláraithe i gcrios óstáilte príobháideach atá ceangailte leis an VPC, agus léigh réiteoir gníomhach an chliaint idir an dá rud. Scarann an seicheamh sin «tá seoladh an réiteora mícheart» ó «níl an crios ceangailte» agus ó «rinne an cliant neamhaird den socrú». Tá ceartú difriúil ag gach ceann, agus ní fadhb tríochad é aon cheann acu.

Ní deir cuardach rathúil rud ar bith faoi luas aistrithe marthanach, mar sin coinnigh an dá chomhrá sin ar leithligh agus tú ag tuairisciú.