Landfræðilegt DNS og anycast: að athuga VPN-innganginn sem þú færð

Nálægt DNS-svar virðist leyst vandamál þar til tengingin lendir annars staðar. Landfræðilegt DNS og anycast reyna bæði að stytta leiðina, og þau taka þá ákvörðun úr mismunandi upplýsingum. Hvort tveggja ábyrgist ekki að gáttin sem þú nærð sé aðgengileg, að hún sýni þá auðkenni sem biðlarinn þinn á von á, eða að lotan þín lifi hnútaskipti. Athuganirnar hér að neðan aðgreina þessar fjórar spurningar.

Athugaðu hvers staðsetningu leysirinn greinir reyndar frá

Valdber þjónn sem svarar topólógíunæmri fyrirspurn sér venjulega vistfang endurkvæma leysisins sem spurði, ekki vistfang manneskjunnar sem sló nafnið inn. Miðstýrður leysir getur verið langt frá biðlurunum sem hann þjónar, og svarið endurspeglar leysinn frekar en þá. Það er ekki galli; þannig hagar samskiptareglan sér nema veittar séu frekari upplýsingar. Forskrift EDNS Client Subnet lýsir bæði takmörkuninni og valfrjálsu úrbótinni.

EDNS Client Subnet getur borið upplýsingar um upprunanetið þegar hver þátttakandi styður það og virkjar. Það er valfrjálst, það hefur afleiðingar fyrir persónuvernd og skyndiminni, og það er ekki leyfi til að gera ráð fyrir að nokkur opinber leysir greini frá nákvæmri staðsetningu notanda. Spurðu rekstraraðila leysa áður en þú hannar út frá því.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Athugaðu hvað anycast-leiðsögn ákvað

Með anycast auglýsa nokkrir staðir aðgengi að einu þjónustuvistfangi, og netið kemur hverjum biðlara til þess hnúts sem leiðsögn hans kýs. Þá val er gert af BGP og stefnunni í kring, ekki fjarlægð á korti. Staðfræðileg nálægð jafngildir líka yfirleitt ekki betri afköstum fram og til baka, því leiðin sem virðist stutt getur verið þunguð eða ósamhverf. Vistfangið sem þú fékkst segir ekkert um hvaða hnútur svaraði.

Staðfestu þjónustustaðsetninguna frá þjónustuhliðinni, eða úr svari sem nefnir hana, frekar en úr DNS-svarinu einu. traceroute -n 198.51.100.20 sýnir leiðina sem þú fórst og nefnir samt ekki hýsilinn við enda hennar, svo lestu það sem leið en ekki svar.

Athugaðu að lotan lifi hnútaskipti

DNS-fyrirspurn er stutt og VPN-lota er löng, og þær hafa gjörólíkar kröfur um ástand. Leiðsögn getur færst til um miðja lotu, og þegar það gerist geta síðari pakkar borist til hnúts sem hefur aldrei séð göngin þín. Hvort það er lifanlegt fer eftir útfærslunni: deilt ástand, viljandi endurtenging eða skjalfest bilun. Vistfangið eitt útvegar ekkert af þessu.

Fylgstu með tilfærslunni í stað þess að gera ráð fyrir henni. sudo tcpdump -ni any -c 20 esp sýnir ytri pakkana eftir því sem leiðin breytist, og skyndileg breyting á vistfangi jafningjans er tilfærslan sjálf. Skilgreindu ætlaða hegðun skýrt fyrir þá útfærslu sem þú keyrir, og prófaðu hana svo með því að þvinga leiðarbreytingu. Ef hönnunin gerir ráð fyrir lotueftirlíkingu, nefndu fyrirkomulagið og nefndu bilunina sem það nær ekki yfir.

Athugaðu að auðkennið passi enn

Hver inngangur verður að sýna það auðkenni sem biðlarasniðið þitt á von á. Skírteini útgefið fyrir þjónustuna virkar á milli hnúta, en skírteini fyrir hvern hnút neyða biðlarann til að samþykkja eitthvað nýtt, og þar læra notendur að smella fram hjá viðvörunum. Haltu væntu auðkenni og sniðinu í samræmi við inngangsgerðina.

Athugaðu það frá biðlara sem náði óvenjulegum hnút, því það er tilfellið þar sem skírteini fyrir hvern hnút verður sýnilegt. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com prentar keðjuna og nöfnin, sem er einmitt það sem biðlarinn ber saman. Ákveddu svo hvort þrengja skuli sniðinu eða breyta skírteinisgerðinni.

Athugaðu skráninguna, ekki bara fyrsta svarið

Metið þrjár aðstæður og skrifið fjórar staðreyndir fyrir hverja: venjulegur inngangur, ein staðsetning óaðgengileg og samþykkta endurheimtutilfellið. Fjórar staðreyndirnar eru leysirinn sem notaður var, vistfangið sem skilað var, staðsetningin sem þjónaði og fersk niðurstaða forrits. Sú skráning aðgreinir DNS-valvandamál frá gáttarvandamáli, leiðsagnarvandamáli eða lotuástandsvandamáli. Án hennar líta allar fjórar eins út frá biðlaranum.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Keyrðu aðstæðurnar frá dæmigerðum aðgangsnetum en ekki bara frá skrifstofunni, því öll spurningin snýst um hvaða inngang mismunandi biðlarar ná í raun. Eitt net er úrtak af einu.