Két VPN, egy resolver: az nyer, aki utoljára írt

Két VPN-kliens csatlakozik, az egyik a munkához, a másik egy laboratóriumi hálózathoz, és a belső nevek csak annak a kliensnek oldódnak fel, amelyik utoljára csatlakozott. Ez a minta az egyik kliens hibájának tűnik. Általában két program kiszámítható eredménye, amelyek ugyanazt a resolver-konfigurációt írják, anélkül hogy megegyeznének abban, ki melyik név gazdája.

A mítosz: a legújabb VPN birtokolja a DNS-t

Nincs általános szabály arra, hogy a legutóbbi kapcsolat nyer. Az történik, amit a platform mechanizmusa és az egyes kliensek írásmódja meghatároz. Az a kliens, amely lecserél egy resolver-fájlt, egy eredményt ad; amelyik kapcsolatonként hozzáad egy tartományt, egy másikat; amelyik semmit nem tesz, érintetlenül hagyja az előző állapotot.

A megfigyelt viselkedés tehát a két megvalósítás tulajdonsága, nem dokumentált prioritás. Ha csak az indítási sorrendből következtetünk, az néha helyes, néha pedig nehezen reprodukálható módon hibás lesz. Inkább írja le a leképezést. Az a tervezés, amelyik két kliensben él, nem tervezés.

Rendelje a névtereket resolverekhez

Sorolja fel a privát utótagokat és az egyes hálózatok által igényelt resolvert, majd döntse el, hová kerüljenek a nyilvános nevek. Ez a lista a tervezés. Nélküle a kliensek véletlenül döntenek.

Az a platform, amely támogatja a kapcsolatonkénti DNS-t vagy az útválasztási tartományokat, szándékosan kifejezheti a felosztást: az egyik tartomány az egyik kapcsolathoz megy, a másik tartomány a másikhoz, minden más pedig egy kifejezett alapértelmezést követ. Két lapos szkript, amely ugyanazt a fájlt írja felül, nem tudja megőrizni ezt a tervezést, mert mindegyik azt hiszi, hogy az egész konfiguráció az övé.

Windows alatt a névfeloldási házirend-táblázat utótagokat irányíthat adott kiszolgálókhoz, és egy VPN-kliens szabályokat telepíthet oda. A házirendet vizsgálja, ne az adapterlistát, mert nem az adapterlista oldja fel a nevet.

Tartson fenn bootstrap-útvonalat

Minden kliensnek meg kell találnia a saját végpontját, mielőtt használhatja a végpont által nyújtott szolgáltatást. Ha a végpont hosztneve csak az alagúton keresztül oldható fel, és az alagútnak szüksége van a feloldott hosztnévre, körkörös függősége van, amely kapcsolódási időtúllépésként jelenik meg. Tartson egy bootstrap-útvonalat mindkét alagúton kívül. Semmibe nem kerül addig a napig, amikor megmenti a kapcsolatot.

Nézze meg az egyes resolverekhez vezető útvonalat, ne csak a hozzá beállított nevet. Az a resolver, amely csak a másik alagúton keresztül érhető el, hiányzóként viselkedik, és a tünet időtúllépés, nem útválasztási hiba.

Az átfedő címek nem DNS-problémák

Két magánhálózat, amely ugyanazt a címtartományt használja, nem javítható DNS-sorrenddel. Ha mindkét alagút a 10.0.0.0/8-at igényli, egy helyesen feloldott név mégis olyan címre mutat, amelyre a hoszt nem tud a megfelelő alagútba irányítani. Ez cím szintű megoldást igényel, például külön tartományokat, névteret vagy fordítást, nem egy újabb resolver-beállítást. Ha ezt korán eldönti, elkerül egy hosszú kitérőt egy olyan DNS-konfiguráció felé, amely soha nem működött volna.

Hasonlítsa össze a két alagút címkiosztását, mielőtt a névfeloldást hibáztatná. Amikor mindkét fél ugyanazt az előtagot hirdeti, a hoszt egyetlen útvonalat tart fenn rá, és a második alagúton feloldott név mégis az első alagút által birtokolt címre érkezik. A külön tartományok, a hálózatonkénti névtér vagy a fordítás a javítások; miután minden kliens csatlakozott, erősítse meg, hogy az útválasztási táblázat a szándékolt útvonalat mutatja.

Bizonyítsa valódi alkalmazásokkal

Válasszon két hosztot, amelyek csak a saját névterükben léteznek, és egy nyilvános nevet, majd oldja fel mindegyiket azon a kliensen keresztül, amelyiknek birtokolnia kellene. Az elvárt resolver helyes válasza nem bizonyítja, hogy az alkalmazás eléri a hosztot, mert az ahhoz a címhez vezető útvonal még mindig meghiúsulhat. Minden lekérdezés után végezzen kapcsolódási tesztet abból a programból, amelyet a felhasználó valóban futtatni fog.

Egy saját titkosított DNS-beállítással rendelkező kliens megkerülheti az imént ellenőrzött házirendet, ezért a felülvizsgálat részeként ellenőrizze ezt a beállítást. Ezután csatlakoztassa újra mindkét klienst a gyártó által támogatott sorrendben, és ismételje meg a lekérdezéseket; ha a válaszok felcserélődnek a sorrend változásakor, egy versengő író még mindig birtokolja a konfiguráció egy részét. Mielőtt bármit szerkesztene, derítse ki, melyik összetevő telepíti a szabályt - a kliens, az operációs rendszer profilja vagy egy felügyeleti ügynök. Jegyezze fel a sorrendet és a tulajdonosokat, hogy a következő embernek ne kelljen újra felfedeznie őket.