DNS an phointe deiridh AWS Client VPN: cén fáth a dteipeann ar phionnáil na IP réitithe

An tseachtain seo caite thug dig +short seoladh amháin duit d'ainm an phointe deiridh i do phróifíl AWS Client VPN, agus cheangail an tollán. An tseachtain seo tá an phróifíl chéanna ina luí ar 'Connecting' ar do ríomhaire glúine agus cóip neamhbhainte de chuid comhghleacaí fós ag obair. Níor cuireadh bac ar rud ar bith agus níor éag an teastas. Tháinig duine éigin in ionad ainm óstach an phointe deiridh leis an seoladh réitithe sin, agus ní fhreagraíonn an tseirbhís ansin a thuilleadh. Is é an t-ainm easpórtáilte an chuid a tógadh chun an t-athrú sin a mhaireachtáil.

B'fhéidir nach é ainm do phróifíle an t-ainm a cheistítear

Is minic a bhíonn remote-random-hostname ag próifílí a easpórtáiltear ó Client VPN. Nuair a bhíonn an rogha sin ar siúl, tógann an cliant lipéad aonuaire, ceanglaíonn sé le hainm an phointe deiridh le ponc, agus réitíonn sé an t-ainm comhcheangailte. Freagraíonn taifead wildcard i gcrios an phointe deiridh aon lipéad, agus is é sin an fáth a réitítear réimír dhéanta fós agus a bhfanann an cleas dofheicthe nuair a dhéanann tú iarracht an cheist a atáirgeadh de láimh.

Mar sin nuair a ghreamaíonn tú ainm an phointe deiridh i dteirminéal agus a fhaigheann tú freagra, tá ainm difriúil réitithe agat ón gceann a úsáideann an cliant ag am an cheangail. Ní locht é an neamhréir sin le ceartú sa phróifíl. Déantar an lipéad a athghiniúint d'aon ghnó: coinníonn an rogha caches ó fhreagra sean a choinneáil, agus ní shainaithníonn sé do mheaisín ná do sheisiún riamh.

Tháinig mé ar an gcás comhoiriúnachta ina ndéanann cliant neamhaird iomlán den rogha. Déanann AWS an réiteach a dhoiciméadú: coinnigh fíorainm an phointe deiridh agus cuir teaghrán randamach móide ponc roimhe, agus caith leis mar phatrún ainmniúcháin seachas mar luach le greamú. Tá sé réasúnta é sin a chur i bhfeidhm ar sheanchliant; níl sé réasúnta an teaghrán le réimír a chrua-chódú mar an pointe deiridh.

Cén fáth nach féidir freagra sábháilte a choinneáil ceart

Bainistíonn AWS seoltaí phointe deiridh Client VPN agus athraíonn siad le himeacht aimsire, rud a deir an doiciméadú dea-chleachtas go díreach. Is éard atá i bhfreagra a gabhadh ná pictiúr de réiteach amháin. Iompaíonn próifíl a chrua-chódaíonn é ina próifíl atá dírithe ar óstach díchoimisiúnaithe chomh luath agus a bhogann an tseirbhís, agus is annamh a bhíonn cuma DNS ar an teip: faigheann tú am istigh ceangail nó handshake stoptha, mar sin téann daoine sa tóir ar ródú agus ar theastais.

Faigheann an freagra céanna in /etc/hosts an dáta éaga céanna le fadhb bhreise. Maireann iontráil hosts trí atosú, trí atheaspórtáil agus trí shocruithe 'athshuiteáil an cliant', mar sin filleann an teip gach uair a bhogann an seoladh. Chonaic mé ceann ina luí go neamhdhíobhálach ar feadh seachtainí, ansin gach meaisín a bhí á iompar a chur as feidhm agus suiteálacha nua ag ceangal go normal. Is é an scoilt sin, grúpa amháin ag teip agus grúpa eile ceart ar an gcuntas céanna, an leid is saoire a gheobhaidh tú.

Cuir scóip cheart leis an randamú. Tarlaíonn sé in aghaidh gach iarracht ceangail. Ní réitíonn tollán bunaithe a phointe deiridh arís, ní athraíonn sé freastalaithe i lár seisiúin, agus ní roghnaíonn iarratais aonair feidhmchlár óstach VPN nua an ceann ar an gceann. Ní réitíonn ach an chéad iarracht eile arís, agus is é sin an fáth nach ndeir seisiún a oibríonn an tráthnóna ar fad aon rud faoi mhaidin amárach.

Cad a sheiceálann an tseirbhís nuair a ardaítear an tollán

Éilíonn Client VPN go mbeadh an seoladh a bhfuil tú ceangailte leis ag teacht le seoladh a réitíodh d'ainm DNS an phointe deiridh. Míníonn an t-aon riachtanas sin roinnt teipeanna atá cosúil le bheith gan bhaint: taifead DNS saincheaptha a dhíríonn áit éigin eile, frontend saincheaptha a sheolann ar aghaidh chuig fíorsheoladh an phointe deiridh, agus próifíl a athscríobhadh chuig seoladh amh. Doiciméadaíonn AWS an socrú taifead saincheaptha móide seoladh ar aghaidh mar theip le cliaint AWS le déanaí. Tá an tseiceáil cúng; ní breithiúnas é go bhfuil gach ailias toirmiscthe.

Ní riail ghinearálta é faoi phrótacail VPN ach an oiread. Tá remote uimhriúil go hiomlán bailí in gnáth-imscaradh OpenVPN, agus oibríonn go leor acu mar sin. Tagann an srian ón socrú bainistithe, ní ón bprótacal faoina bhun.

Rud a dhéanann an t-atmaisféar mícheart de mhaolú ar fhíorú teastais. Má theipeann ar phróifíl tar éis seoladh a mhalartú, bogann díchumasú fíoraithe freastalaí an earráid in ionad an réiteach nó an riachtanas meaitseála seolta a shocrú, agus fágann sé cliant a mbeidh muinín aige as rud ar bith. Coinnigh an CA easpórtáilte, fíorú freastalaí agus socruithe frithpháirteacha fíordheimhnithe go beacht mar a tháinig siad.

Is trí fhadhb ar leithligh iad liostaí ceadaithe, eisreabhadh agus DNS príobháideach

Baineann riail bhalla dóiteáin a chaithfidh ceann scríbe a cheadú sula gceanglaíonn ríomhaire glúine leis an éisteoir seachtrach. Tabhair ainm an phointe deiridh, an t-iompar agus an port cumraithe d'úinéir an líonra, ansin fiafraigh an féidir lena rialú iompar DNS na seirbhíse a leanúint. Is pictiúr é riail a choinníonn aon seoladh amháin gabhadh, agus tá dáta éaga gan scríobh aige. Más rud é nach nglacann an rialú ach le cinn scríbe do-athraithe, socraigh an bhearna sin roimh an rolladh amach seachas freagra a chrua-chódú go ciúin.

Tá riachtanas difriúil ag comhpháirtí a dteastaíonn seoladh foinse seasta uaidh le haghaidh iarratas a dhéantar tar éis an tollán a ardú: eisreabhadh. Braitheann an rud a fheiceann suíomh gréasáin ar ród an fheidhmchláir agus ar an mbeartas tolláin scoilte, ní ar an seoladh a cheangail an cliant leis. B'fhéidir nach dteagmhódh trácht tolláin scoilte le AWS ar chor ar bith.

Is tríú sraith é DNS príobháideach laistigh den tollán. Freagraíonn an réiteoir a thugtar do chliaint ainmneacha inmheánacha tar éis ceangail; ní féidir leis an bpointe deiridh poiblí a réiteach sula mbíonn an tollán ann. Tarlaíonn teip réitithe an phointe deiridh agus teip réitithe feidhmchláir inmheánaigh ag céimeanna éagsúla, agus cuireann meascadh na nithe sin chuig an log mícheart thú.

Baineann teaghlach seoladh leis an liosta céanna. Ní deir freagra IPv4 aon rud faoi chonair cheadaithe pointe deiridh IPv6 nó dé-stac, mar sin ní fianaise don cheann eile é pictiúr a tógadh i dteaghlach amháin.

Seiceáil ceangal gan aon rud a phionnáil

Tosaigh ón bpróifíl mar a easpórtáladh í agus léigh a bhfuil sí ag iarraidh i ndáiríre:

grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'

Ansin déan comparáid idir trí rud: ainm an phointe deiridh atá ag an bpróifíl, an seoladh a thuairiscíonn an cliant d'iarracht nua, agus an rud a réitíonn an t-ainm chuige anois. Ní chruthaíonn ainm a réitíonn ach go bhfreagraíonn an taifead; tá iompar agus fíordheimhniú ar leithligh, agus ní gá don phointe deiridh freagra a thabhairt ar ping. Is é log an chliaint féin an t-aon fhoinse don mhír láir, mar sin gabh é le linn na hiarrachta seachas ina diaidh.

Is fianaise faoi inniu é seoladh a fhreagraíonn inniu; is é an t-ainm an rud a choinníonn an tseirbhís bailí. Taifead an bhreathnóireacht, seol chuig an té a shealbhaíonn an pointe deiridh í, agus fág an phróifíl ag díriú ar an ainm.

Dhá nós le tabhairt suas: seiceálacha teastais a dhíchumasú chun handshake stoptha a shárú, agus lipéid a chruachadh os comhair ainm an phointe deiridh ag súil go gcloífidh ceann amháin. Réitítear lipéad tríd an taifead wildcard nó tá an fhadhb in áit éigin eile. Má theipeann ar phróifíl atá cumraithe i gceart fós, seol an cheist bheacht agus an t-imeacht ceangail, ní ainm óstach níos faide.

Sula ndúnann tú é: tá ainm easpórtáilte an phointe deiridh fós ag an bpróifíl, ní phionnálann aon chomhad hosts an seoladh, tagann remote i log an chliaint le réiteach reatha, agus ainmníonn an riail bhalla dóiteáin an pointe deiridh seachas seoladh. Sin an staid atá le tabhairt don chéad duine eile freisin.