DNS na ƙarshen AWS Client VPN: me ya sa dage IP da aka warware ke kasawa

Makon da ya gabata dig +short ya ba ku adireshi ɗaya don sunan ƙarshen a cikin bayanan AWS Client VPN ɗinku, kuma ramin ya haɗu. Wannan makon wannan bayanan yana tsaye a 'Connecting' a kwamfutar tafi-da-gidanku yayin da kwafin abokin aikinku da ba a taɓa ba yana aiki. Ba a toshe kome ba kuma takardar shaidar ba ta ƙare ba. Wani ya maye gurbin sunan mai masaukin ƙarshen da wancan adireshin da aka warware, kuma sabis ɗin ba ya amsa a can. Sunan da aka fitar shi ne ɓangaren da aka gina don jure wannan canji.

Sunan da ke cikin bayananku yana iya zama ba sunan da ake tambaya ba

Bayanan da aka fitar daga Client VPN galibi suna ɗauke da remote-random-hostname. Idan wannan zaɓi yana kunne, abokin ciniki yana gina alama ta wucin gadi, yana haɗa ta da sunan ƙarshen da aya, sannan yana warware sunan da aka haɗa. Rikodin wildcard a yankin ƙarshen yana amsa kowace alama, shi ya sa prefix da aka ƙirƙira yana warwarewa kuma shi ya sa dabarar ba ta bayyana idan kuka gwada maimaita tambayar da hannu.

Don haka idan kun liƙa sunan ƙarshen a tashar umarni kuma ku sami amsa, kun warware wani suna dabam da wanda abokin ciniki ke amfani da shi lokacin haɗawa. Wannan rashin daidaituwa ba laifi ba ne da za a gyara a cikin bayanan. Ana sake ƙirƙirar alamar da gangan: zaɓin yana hana ajiyar aji amsa da ta tsufa, kuma ba ya taɓa gane na'urarku ko zaman ku.

Na ci karo da yanayin jituwa inda abokin ciniki ya yi watsi da zaɓin gaba ɗaya. AWS ya rubuta maganin: riƙe ainihin sunan ƙarshen kuma saka layin bazuwar da aya a gaba, kuna ɗaukarsa a matsayin tsarin suna maimakon ƙimar da za a liƙa. Yin hakan a kan tsohon abokin ciniki yana da ma'ana; hardcode layin da ke da prefix a matsayin ƙarshen ba haka ba.

Me ya sa amsar da aka adana ba za ta iya kasancewa daidai ba

AWS ne ke sarrafa adiresoshin ƙarshen Client VPN kuma suna canzawa da lokaci, abin da takardun kyawawan ayyuka suka faɗa a fili. Amsar da aka kama hoto ne na warwarewa ɗaya. Bayanan da ke hardcode ta ya zama bayanan da ke nufin masaukin da aka cire daga aiki da zarar sabis ɗin ya ƙaura, kuma gazawar ba ta yawan kama da DNS: kuna samun ƙarewar lokacin haɗawa ko handshake da ya tsaya, don haka mutane suna bin hanyoyin sadarwa da takardun shaida.

Wannan amsar a cikin /etc/hosts tana gado wannan ƙarewa tare da ƙarin matsala. Shigar hosts tana tsira daga sake kunnawa, sake fitarwa da gyaran 'sake shigar da abokin ciniki', don haka gazawar tana dawowa duk lokacin da adireshin ya ƙaura. Na ga ɗaya ya zauna ba lahani na makonni, sannan ya lalata kowace na'urar da ke ɗauke da shi yayin da sabbin shigarwa suka haɗu akai-akai. Wannan rabuwa, ƙungiya ɗaya ta kasa yayin da wata ta yi kyau a asusu ɗaya, ita ce alama mafi arha da za ku samu.

Ka iyakance bazuwar yadda ya kamata. Tana faruwa kowane ƙoƙarin haɗawa. Ramin da aka kafa ba ya sake warware ƙarshensa, ba ya canza uwar garke a tsakiyar zama, kuma buƙatun aikace-aikace ɗaya-ɗaya ba sa zaɓar sabon masaukin VPN kowanne. Sai ƙoƙari na gaba ya sake warware, shi ya sa zaman da ke aiki duk rana ba ya faɗin kome game da gobe da safe.

Abin da sabis ɗin ke dubawa lokacin da ramin ya tashi

Client VPN yana buƙatar adireshin da kuke haɗe da shi ya dace da adireshin da aka warware don sunan DNS na ƙarshen. Wannan buƙata ɗaya tana bayyana gazawa da yawa da suka yi kama da marasa alaƙa: rikodin DNS na al'ada da ke nuni wani wuri, frontend na al'ada da ke tura zuwa ainihin adireshin ƙarshen, da bayanan da aka sake rubuta zuwa adireshin danye. AWS ya rubuta tsarin rikodin na al'ada da turawa a matsayin gazawa tare da sabbin abokan ciniki na AWS. Binciken ɗan ƙunci ne; ba hukunci ba ne cewa an haramta kowane laƙabi.

Ba ka'ida ce ta gama gari game da ka'idojin VPN ba. Lamba remote tana da inganci sosai a cikin ƙaddamar OpenVPN ta al'ada, kuma da yawa suna aiki haka. Takunkumin ya fito daga tsarin da aka sarrafa, ba daga ka'idar da ke ƙasa ba.

Wanda ke sa sassauta tabbatar da takardar shaida ya zama mayar da martani mara kyau. Idan bayanan ya kasa bayan musayar adireshi, kashe tabbatar da uwar garke yana motsa kuskure maimakon gyara warwarewa ko buƙatar daidaiton adireshi, kuma yana barin abokin ciniki da zai amince da kome. Riƙe CA da aka fitar, tabbatar da uwar garke da saitunan tabbatar da juna kamar yadda suka zo.

Jerin izini, fitarwa da DNS mai zaman kansa matsaloli uku ne daban

Dokar wutar bango da dole ta ba da izinin manufa kafin kwamfutar tafi-da-gida ta haɗu tana magana ne game da mai saurare na waje. Ba wa mai cibiyar sadarwa sunan ƙarshen, jigilar da tashar da aka saita, sannan ka tambaye shi ko ikonsu zai iya bin halin DNS na sabis ɗin. Dokar da ke riƙe adireshi ɗaya da aka kama hoto ne da ƙarewa da ba a rubuta ba. Idan ikon yana karɓar kawai manufofi da ba za su canza ba, warware wannan gibin kafin ƙaddamarwa maimakon hardcode amsa a hankali.

Abokin tarayya da ke buƙatar tsayayyen adireshin tushe don buƙatun da aka yi bayan ramin ya tashi yana da wata buƙata: fitarwa. Abin da gidan yanar gizo ke gani ya dogara da hanyar aikace-aikacen da manufofin raba rami, ba adireshin da abokin ciniki ya haɗa da shi ba. Hanyar da aka raba tana iya rashin taɓa AWS kwata-kwata.

DNS mai zaman kansa a cikin ramin mataki na uku ne. Mai warwarewa da ake ba abokan ciniki yana amsa sunayen ciki bayan haɗawa; ba zai iya warware ƙarshen jama'a kafin ramin ya kasance ba. Gazawar warware ƙarshen da gazawar warware aikace-aikacen ciki suna faruwa a matakai daban-daban, kuma haɗa su yana kai ku ga log ɗin da ba daidai ba.

Iyalin adireshi suna cikin wannan jerin. Amsar IPv4 ba ta faɗin kome game da hanyar da aka yarda don ƙarshen IPv6 ko mai tarin yawa biyu, don haka hoton da aka ɗauka a iyali ɗaya ba shaida ba ne ga ɗayan.

Duba haɗi ba tare da dage kome ba

Fara daga bayanan yadda aka fitar da shi kuma karanta abin da yake nema a zahiri:

grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'

Sannan kwatanta abubuwa uku: sunan ƙarshen da bayanan ke riƙe, adireshin da abokin ciniki ya bayar don sabon ƙoƙari, da abin da sunan ke warwarewa yanzu. Sunan da ya warware yana tabbatar ne kawai cewa rikodin yana amsa; jigila da tabbatarwa daban ne, kuma ƙarshen ba sai ya amsa ping ba. Log ɗin abokin ciniki da kansa shine kawai tushe ga abu na tsakiya, don haka kama shi yayin ƙoƙarin ba bayan ba.

Adireshin da ke amsa yau shaida ne game da yau; sunan shine abin da sabis ɗin ke riƙe da inganci. Rubuta abin lura, aika shi ga wanda ya mallaki ƙarshen, kuma bar bayanan ya nuna sunan.

Halaye biyu da za a bar: kashe binciken takardar shaida don wuce handshake da ya tsaya, da tara alamu a gaban sunan ƙarshen da fatan ɗaya zai manne. Alamar tana warwarewa ta rikodin wildcard ko kuma matsalar tana wani wuri. Idan bayanan da aka saita daidai ya kasa har yanzu, aika ainihin tambayar da abin da ya faru na haɗawa, ba dogon sunan masauki ba.

Kafin ka rufe: bayanan har yanzu yana ɗauke da sunan ƙarshen da aka fitar, babu fayil ɗin hosts da ke dage adireshin, remote a cikin log ɗin abokin ciniki ya dace da warwarewa ta yanzu, kuma dokar wutar bango tana ambaton ƙarshen ba adireshi ba. Wannan kuma shine yanayin da za a ba wa mutum na gaba.