DNS á AWS Client VPN endapunkti: hvers vegna festing á leystu IP-tölu mistekst

Í síðustu viku gaf dig +short þér eitt vistfang fyrir endapunktarheitið í AWS Client VPN sniðinu þínu, og göngin tengdust. Í þessari viku stendur sama snið á 'Connecting' í tölvunni þinni á meðan ósnortið eintak vinnufélaga virkar enn. Engu var lokað og skírteinið rann ekki út. Einhver skipti um hýsilheiti endapunktsins fyrir það leysta vistfang, og þjónustan svarar ekki þar lengur. Útflutta heitið er sá hluti sem byggður er til að lifa af þá breytingu.

Heitið í sniðinu þínu er ef til vill ekki heitið sem spurt er um

Snið sem flutt eru út úr Client VPN bera oft remote-random-hostname. Þegar sá valkostur er virkur býr biðlarinn til einnota merki, tengir það heiti endapunktsins með punkti og leysir hið sameinaða heiti. Algildisinnsláttur í svæði endapunktsins svarar hvaða merki sem er, þess vegna leysist upphugsað forskeyti enn og þess vegna er bragðið ósýnilegt þegar þú reynir að endurtaka fyrirspurnina handvirkt.

Þannig að þegar þú límir endapunktarheitið í skjáhermi og fær svar hefur þú leyst annað heiti en biðlarinn notar við tengingu. Þetta misræmi er ekki galli sem á að laga í sniðinu. Merkið er endurnýjað viljandi: valkosturinn kemur í veg fyrir að skyndiminni haldi úreltu svari, og hann auðkennir aldrei vélina þína eða lotuna.

Ég hef rekist á samhæfistilfellið þar sem biðlari hunsar valkostinn algjörlega. AWS skjalfestir leiðina fram hjá: haltu raunverulegu endapunktarheiti og settu handahófskenndan streng og punkt fyrir framan, og meðhöndlaðu það sem nafngiftarmynstur en ekki gildi til að líma. Að beita því á gamlan biðlara er sanngjarnt; að harðkóða forskeytta strenginn sem endapunkt er það ekki.

Hvers vegna vistað svar getur ekki haldist rétt

Vistföng endapunkta Client VPN eru stýrð af AWS og breytast með tímanum, sem skjöl um bestu venjur segja beint. Skráð svar er skyndimynd af einni leysingu. Snið sem harðkóðar það verður snið sem miðar á niðurlagðan hýsil um leið og þjónustan færist, og bilunin lítur sjaldan út eins og DNS: þú fær tengitímamörk eða stöðvuð handaband, svo fólk eltir leiðarval og skírteini.

Sama svar í /etc/hosts erfir sama gildistíma með aukavanda. hosts-færsla lifir af endurræsingar, endurútflutning og 'enduruppsettu biðlarann'-lagfæringar, svo bilunin kemur aftur í hvert sinn sem vistfangið færist. Ég hef séð eina liggja meinlaust í vikur og slökkva síðan á hverri vél sem bar hana á meðan nýjar uppsetningar tengdust venjulega. Þessi skipting, einn hópur mistekst og annar er í lagi á sama reikningi, er ódýrasta vísbendingin sem þú fær.

Afmarkaðu slembivalið rétt. Það gerist fyrir hverja tengitilraun. Uppsett göng leysa ekki endapunktinn sinn aftur, skipta ekki um þjón á miðri lotu, og einstakar forritabeiðnir velja ekki hver nýjan VPN-hýsil. Aðeins næsta tilraun leysir aftur, þess vegna segir lota sem virkar allan eftirmiðdaginn ekkert um morgundaginn.

Hvað þjónustan athugar þegar göngin koma upp

Client VPN krefst þess að vistfangið sem þú ert tengdur við passi við vistfang sem leyst er fyrir DNS-heiti endapunktsins. Þessi eina krafa útskýrir nokkur mistök sem virðast ótengd: sérsniðin DNS-færsla sem vísar annað, sérsniðinn framendi sem sendir á raunverulegt endapunktarvistfang, og snið endurskrifað í hrátt vistfang. AWS skjalfestir fyrirkomulagið sérsniðin færsla plús framsending sem bilun með nýlegum AWS-biðlurum. Athugunin er þröng; hún er ekki dómur um að hvert samheiti sé bannað.

Það er heldur ekki almenn regla um VPN-samskiptareglur. Tölulegt remote er fullkomlega gilt í venjulegri OpenVPN-uppsetningu, og mörg keyra þannig. Takmörkunin kemur frá stýrða fyrirkomulaginu, ekki frá samskiptareglunni undir því.

Sem gerir slökun á skírteinisstaðfestingu að röngu viðbragði. Ef snið mistekst eftir vistfangsskipti færir slökkt á þjónsstaðfestingu villuna í stað þess að laga leysinguna eða kröfuna um vistfangssamsvörun, og skilur eftir biðlara sem treystir hverju sem er. Haltu útflutta CA-inu, þjónsstaðfestingu og stillingum gagnkvæmrar auðkenningar nákvæmlega eins og þær komu.

Leyfislistar, útgangur og einkadns eru þrjú aðskilin vandamál

Regla í eldvegg sem verður að leyfa áfangastað áður en tölvan tengist varðar ytri hlustandann. Gefðu eiganda netsins endapunktarheitið, flutninginn og stillta gátt, og spurðu svo hvort stjórn þeirra geti fylgt DNS-hegðun þjónustunnar. Regla sem heldur einu skráðu vistfangi er skyndimynd með óskrifuðum gildistíma. Ef stjórnin tekur aðeins við óbreytanlegum áfangastöðum skaltu leysa það bil fyrir útfærslu í stað þess að harðkóða svar í hljóði.

Félagi sem þarf fast upprunavistfang fyrir beiðnir eftir að göngin eru uppi hefur aðra kröfu: útgang. Það sem vefsíða sér fer eftir leið forritsins og stefnu skiptra ganga, ekki vistfanginu sem biðlarinn tengdist. Umferð í skiptum göngum gæti aldrei snert AWS.

Einkadns inni í göngunum er þriðja lagið. Leysirinn sem biðlurum er gefinn svarar innri heitum eftir tengingu; hann getur ekki leyst opinbera endapunktinn áður en göngin eru til. Bilun í leysingu endapunkts og bilun í leysingu innra forrits gerast á mismunandi stigum, og að blanda þeim sendir þig í ranga skrá.

Vistfangafjölskyldan tilheyrir sama lista. IPv4-svar segir ekkert um leyfða leið IPv6- eða tvíþætts endapunkts, svo skyndimynd tekin í einni fjölskyldu er ekki sönnun fyrir hina.

Athugaðu tengingu án þess að festa nokkuð

Byrjaðu á sniðinu eins og það var flutt út og lestu hvað það biður raunverulega um:

grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'

Berðu svo saman þrjá hluti: endapunktarheitið sem sniðið heldur, vistfangið sem biðlarinn tilkynnir fyrir nýja tilraun, og hvað heitið leysist í núna. Heiti sem leysist sannar aðeins að færslan svari; flutningur og auðkenning eru aðskilin, og endapunkturinn þarf ekki að svara ping. Skrá biðlarans sjálfs er eina uppspretta miðhlutarins, svo taktu hana upp meðan á tilrauninni stendur en ekki eftir.

Vistfang sem svarar í dag er sönnun um daginn í dag; heitið er það sem þjónustan heldur gilt. Skráðu athugunina, sendu hana þeim sem á endapunktinn, og láttu sniðið vísa á heitið.

Tveir vanar sem á að hætta: að slökkva á skírteinisathugunum til að komast fram hjá stöðvuðu handabandi, og að stafla merkum fyrir framan endapunktarheitið í von um að eitt festist. Merki leysist í gegnum algildisinnsláttinn eða vandinn er annars staðar. Ef rétt stillt snið mistekst samt, sendu nákvæmu fyrirspurnina og tengingaratburðinn, ekki lengra hýsilheiti.

Áður en þú lokar: sniðið ber enn útflutta endapunktarheitið, engin hosts-skrá festir vistfangið, remote í skrá biðlarans passar við núverandi leysingu, og eldveggsreglan nefnir endapunktinn en ekki vistfang. Það er líka ástandið sem á að afhenda næsta manni.