Zašto SRV zapis pomaže samo klijentu koji ga sam pita

Dodavanje SRV zapisa u vašu zonu ne uči nijedan VPN klijent da ga traži. Klijent mora znati oznaku, odlučiti poslati upit i postupiti prema onome što se vrati, a DNS ne može osigurati prva dva od toga. Zato je većina neuspjelih SRV planova klijentski problem u DNS rušu. Najprije pročitajte ponašanje klijenta pri otkrivanju, a zatim objavite samo oznaku koju doista pita.

Zapis koji nitko ne pita ne može nikome pomoći

SRV objavljuje lokaciju usluge; on je ne najavljuje. Ništa ne gura zapis prema klijentu, i nijedan razrješivač ne nudi ime koje nikada nije traženo. Pretraga počinje kad aplikacija odluči da je provede, pa oznaka mora doći iz dokumentacije proizvoda ili iz promatranja softvera na mreži. Gdje klijent nema korak otkrivanja, zapis mijenja zonu i ništa drugo.

Zato jedan proizvod na mreži može početi raditi dok drugi nije pogođen istom promjenom. Varijabla je softver, a DNS poslužitelj radi točno ono što mu je rečeno. Pročitajte zonu ponovno nakon izmjene, jer se pogrešno upisana oznaka lako skriva među zapisima koji svi izgledaju isto.

Pročitajte polja prije nego što ih upišete

Zapis nosi četiri vrijednosti i svaka odgovara na drugo pitanje: prioritet poreda odredišta koja klijent može isprobati, težina dijeli opterećenje među odredištima jednakog prioriteta, port imenuje transportni port, a odredište imenuje host. Specifikacija također dopušta da odredište . znači da je usluga namjerno nedostupna, što je koristan odgovor, a ne pokvaren.

Nijedno od tih polja ne nosi vjerodajnice, politiku certifikata ili verziju aplikacije, a klijent koji zanemaruje težinu ipak se povezuje, samo bez predviđene ravnoteže. Odredište treba vlastite zapise adresa i trebalo bi biti kanonsko ime, a ne alias. Objavljivanje zapisa koji pokazuje na host bez slušatelja stvara pogrešku povezivanja koja se čita kao kvar DNS-a, a to je najskuplja vrsta obmane. Objavite cijeli lanac ili ništa od njega.

Pronađite oznaku koju klijent doista šalje

Utvrdite oznaku na temelju dokaza, a ne nagađanja o imenu proizvoda. Ili dokumentacija navodi ime usluge, ili snimka pokazuje upit koji klijent šalje pri pokretanju. Oba puta završavaju na istom mjestu: točno ime i tip za provjeru kod razrješivača.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Usporedite odgovor sa zapisom koji ste objavili, znak po znak, jer su donje crte i točka na kraju dio imena. Prazan odgovor na upit koji je doista poslan upućuje na zonu, dok potpuna odsutnost upita upućuje na klijenta, a ti nalazi vode vas različitim timovima. Pravi odgovor izgleda kao redak ispod, gdje prioritet 20 gubi od svakog zapisa nižeg prioriteta i klijent bira port 8443 na navedenom odredištu.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Odredište također mora postojati

Odredište koje se razrješava nije isto što i usluga koja odgovara. Provjerite zapise adresa za odredište, zatim provjerite da nešto sluša na objavljenom portu i protokolu. TCP zapis koji pokazuje na slušatelja samo za UDP nesklad je koji nikakvo uređivanje zone ne popravlja. Držite TTL kratkim dok je odredište nestabilno, i produljite ga kad se ime prestane kretati.

Klijenti koji doista provode otkrivanje razlikuju se u tome koliko zapisa poštuju. Neki koriste samo prioritet, neki tretiraju težinu kao savjet, a poneki zanemaruju port i pretpostavljaju zadanu vrijednost. Te razlike pripadaju u vaše bilješke uz oznaku, jer objašnjavaju ponašanje koje inače izgleda kao kvar razrješivača.

Otkrivanje nije autentifikacija

SRV odgovor kaže gdje se povezati, i ne kaže ništa o tome kome vjerovati kad stignete. Ostavite provjeru certifikata i provjere identiteta poslužitelja u klijentu točno kakve su bile, jer zapis koji netko drugi može krivotvoriti ne smije postati odluka o povjerenju. DNS odgovori mogu se spremati u predmemoriju i mijenjati od strane onoga koji kontrolira zonu, što ih čini lošim mjestom za kodiranje politike.

Za klijenta bez podrške za otkrivanje, podijelite profil ili URL pristupnika koji prihvaća, i zabilježite koji proizvod koristi koju metodu. Ta bilješka sprječava sljedećeg administratora da doda zapis i očekuje da će raditi svugdje. Specifikacija SRV opisuje odabir među odredištima, a čitanje toga kao mehanizma autorizacije način je na koji koristan zapis postaje sigurnosna pretpostavka. Objavljujte namjerno, navedite oznaku u dokumentaciji i tretirajte klijenta kao komponentu koja odlučuje ima li išta od toga smisla.