Laptop keliling: nama stabil atau alamat kantor tetap?

Anda membuka konsol manajemen dari rumah, mencari laptop berdasarkan nama, dan mendapat alamat yang tidak lagi valid saat laptop itu meninggalkan kantor. Naluri pertama adalah memindahkan alamat kantor ke adaptor VPN agar semuanya tetap berjalan. Perbaikan itu biasanya merusak hal lain, karena menemukan perangkat, mengizinkan lalu lintasnya, dan menjaga sesi tetap hidup adalah tiga masalah berbeda. Pisahkan ketiganya sebelum memilih desain alamat.

Pisahkan tiga persyaratan

Tuliskan mana dari ketiganya yang sebenarnya gagal. Seseorang atau alat tidak dapat menemukan layanan; server menolak permintaan karena alamat sumber tidak ada dalam daftar; atau aplikasi terputus saat antarmuka berubah. Di lembar kerja semuanya tampak sama dan membutuhkan perbaikan yang berbeda.

Sebagian besar keluhan perpindahan masuk ke keranjang pertama dan diperbaiki di DNS. Memberi nama identitas yang stabil itu murah dan mencakup kasus pertama. Mempertahankan alamat itu mahal dan hanya membantu kasus kedua jika kebijakan tetap ditulis ulang.

Jadikan nama sebagai hal yang stabil

Beri laptop sebuah nama yang mengarah ke alamat mana pun yang dapat dijangkau oleh pemanggil. Dalam contoh ini alamat kantor adalah 192.168.50.42, kumpulan akses jarak jauh memberikan 10.90.0.42, dan laptop17.corp.example mengikuti koneksi. Tidak ada yang mengharuskan oktet terakhir cocok, dan mendesain di sekitar kecocokan itu menciptakan pekerjaan tanpa manfaat. Catatan harus menunjuk ke alamat yang benar-benar dapat digunakan pemanggil, bukan ke setiap antarmuka yang pernah dimiliki laptop.

dig +short laptop17.corp.example

Resolver menyimpan jawaban di cache, jadi perubahannya tidak langsung bagi semua orang. TTL pendek membantu, dan logika penyambungan ulang aplikasi lebih membantu.

Ketika daftar sumber yang diizinkan adalah batasan sebenarnya

Daftar sumber yang diizinkan melihat alamat yang diterima layanan terlindungi, setelah penerjemahan apa pun. Itu sering kali alamat gateway atau NAT, bukan alamat laptop itu sendiri, karena itulah mengedit catatan DNS tidak pernah memperbaiki permintaan yang ditolak. Perbarui kebijakan untuk alamat yang benar-benar tiba, atau ganti daftar dengan identitas yang terautentikasi.

Tangkap satu permintaan yang diterima di server dan baca bidang sumber, lalu ulangi dari jalur jarak jauh. Jika kedua alamat berbeda, kebijakan membutuhkan dua entri atau mekanisme lain. Catat kedua alamat bersama entri kebijakan agar orang berikutnya melihat mengapa ada dua. Menggunakan kembali alamat yang sudah aktif pada tautan yang sama adalah masalah konflik tersendiri dengan aturan deteksinya sendiri.

Apa yang sebenarnya dibutuhkan kesinambungan

Kesinambungan koneksi adalah persyaratan tersulit dan yang paling sering salah dibaca. Koneksi TCP diidentifikasi oleh kedua alamat dan kedua porta, jadi alamat lokal baru adalah koneksi lain, apa pun kata DNS. Aplikasi yang penting harus menyambung ulang, yang berarti lapisan sesi atau klien yang mencoba lagi, bukan trik jaringan. Amati sesi selama perpindahan dan putusnya langsung terjadi, bukan bertahap.

ss -tnp state established '( dport = :443 )'

Mengkloning alamat MAC juga tidak menyelesaikan ini. Identitas sewa DHCP dapat menggunakan pengenal klien eksplisit, dan dua antarmuka yang berbagi satu identitas tetap membutuhkan rute yang terkoordinasi. Perlakukan mobilitas sebagai desain aplikasi dan alokasi, dan jaga identitas perangkat tetap stabil sementara alamatnya mengikuti jaringan.