Popis dopuštenih VPN završnih točaka: DNS osvježenje koje ste zaboravili

Unošenje vpn.example.com u iznimku vatrozida izgleda kao pretplata na DNS. Obično se dogodi prijevod pri učitavanju, nakon čega pravilo drži adrese i ništa ih ne osvježava. Dvije komponente sada dijele posao: razrješivač koji odgovara i vatrozid koji pohranjuje. Većina prekida završnih točaka počinje tamo gdje ta predaja nikada nije bila projektirana.

Ime hosta u pravilu nije živa pretplata

Neki alati rješavaju ime kada se konfiguracija učita; drugi drže ime hosta i ponovno ga rješavaju prema vlastitom rasporedu; treći prihvaćaju samo adrese. Vidljiva konfiguracija rijetko kaže koja. Primjeri u dokumentaciji obično pretpostavljaju slučaj učitavanja, zbog čega razlika iznenađuje ljude tijekom migracije. Pročitajte ponašanje implementacije prije nego pretpostavite da će promjena adrese biti primijećena, jer zastario popis dopuštenih izgleda baš kao onaj koji radi dok se završna točka ne premjesti.

Pravilo koje imenuje pravi host i dalje može propustiti pogrešnu adresu. Ta praznina je mit, a ne pravopisna pogreška.

TTL predmemorije nije mjerač vremena vašeg vatrozida

DNS zapisi nose vrijeme života, a razrješivači predmemoriraju odgovore za to razdoblje. DNS specifikacija definira to ponašanje predmemorije, ali njime upravlja DNS podacima, a ne zasebnim spremištem adresa vatrozida. Kratak TTL ne stvara posao osvježavanja tamo gdje ga nema. Predmemoriranje se događa i na više slojeva, pa odgovor koji vidi terminal možda nije onaj koji je vidio vatrozid.

Postavite stvarnom proizvodu tri pitanja: kada rješava, gdje pohranjuje rezultat i što pokreće osvježavanje. Ako je odgovor samo pri podizanju, dugotrajna sesija može nadživjeti adresu na koju je primljena.

dig +short vpn.example.com
resolvectl query vpn.example.com

Dizajnirajte osvježavanje i neuspjeh kao jednu politiku

Održavana iznimka zahtijeva eksplicitne odgovore: što pokreće osvježavanje prije nego klijent odabere novu adresu, kako se dopušteni skup mijenja bez otvaranja širokog privremenog prozora i kada se uklanjaju zastarjeli unosi. Zapišite te odgovore pokraj pravila.

Namjerno odaberite ponašanje pri neuspjehu. Zadržavanje stare adrese može sačuvati sesiju i ostaviti zastarjelu dozvolu; čišćenje skupa može spriječiti oporavak. Nijedno ne smije biti slučajan rezultat neuspjelog traženja. Zapišite odabrano ponašanje u runbook da sljedeći operater ne improvizira pod pritiskom.

Držite i bootstrap DNS uskim. Bezuvjetna iznimka za javni razrješivač izravan je DNS put za sve što pokriva, ne samo za ime završne točke.

Dokažite promjenu završne točke, a ne prvo povezivanje

Koristite klijentov podržani upravitelj ako već koordinira rješavanje i blokiranje. Na PF hostu kojim upravlja lokacija, zadržite vlasništvo lokacije i plan oporavka umjesto kopiranja sintakse tablice imena hostova s druge platforme s drugačijim ponašanjem životnog ciklusa.

S odobrenim, bezopasnim testom usporedite adresu koju klijent odabire s aktivnim dopuštenim skupom prije i poslije kontrolirane promjene. Pokrijte neuspjelo traženje, brisanje unosa koji više nije valjan i, gdje je podržano, drugu obitelj adresa. Predviđeni tunel trebao bi se oporaviti dok nepovezani izravni promet ostaje pod politikom. Uspješno prvo povezivanje dokazuje samo da je početni prijevod slučajno bio točan.