Einkarekið DNS-heiti eða bara IP? Ákveðið áður en þið deilið því

Tvær spurningar blandast þegar einkarekinni þjónustu er opnað fyrir fjartengda notendur. Sú fyrsta er hvaða heiti biðlarar eiga að nota; sú síðari er hvaða uppruna þjónustan eigi að leyfa. Svaraðu þeim í þessari röð, því rétt heiti bak við ranga aðgangsreglu mistekst samt, og rétt regla bak við heiti sem leysist ekki er aldrei prófuð.

Skilyrði eitt: hvaða slóð leysis hafa biðlarar?

Einkarekið heiti virkar aðeins ef leysir biðlarans getur svarað því. Það þýðir að heimilaður fjartengdur biðlari verður að ná DNS-þjóni sem heldur svæðinu, annaðhvort gegnum göngin eða gegnum leysi sem stofnunin rekur þegar fyrir fjartengda notendur. Göngin eru flutningur, ekki skrá. Þau gefa biðlaranum slóð að leysi og segja honum ekki hvaða svæði hann eigi að spyrja um.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Opinber leysir lærir ekki einkarekið svæði af því að fartölvan tengdist VPN.

Viðskeytið á skilið sömu athygli. Notaðu undirlén af léni sem stofnunin stýrir, svo eignarhald og skipulagning skírteina haldist skýr. Forðastu .local: forskrift multicast DNS bindur það viðskeyti við link-local leysingu, og beitt göng endurgera ekki þessa hegðun fyrir þig.

Skilyrði tvö: hvaða uppruna tekur þjónustan við?

Aðgangsreglur eru skrifaðar gegn vistföngum, svo gagnlega spurningin er hvaða vistfang þjónustan sér eftir leiðslu og þýðingu. Fyrir dæmisþjónustu á 10.20.30.40 koma skrifstofubiðlarar frá 10.20.30.0/24 og fjartengdir biðlarar frá sérstöku laug eins og 10.99.0.0/24.

Ef gátt þýðir fjarlægu laugina sér þjónustan þýðandann, og regla skrifuð fyrir 10.99.0.0/24 mun ekki passa.

Lestu þetta frá hlið þjónustunnar frekar en hlið biðlarans. Hlustendalogg eða pakkafang á þjónuþjóninum sýnir upprunann sem kom í raun; vistfang biðlarans sjálfs er aðeins ágiskun um hvað lifði slóðina af.

Skilyrði þrjú: er heitið bundið þjónustu eða þjóni?

Heiti sem bendir á vistfang einnar vélar tengir hvern biðlara við þá vél. Heiti sem bendir á hleðslujafnara eða stöðugt þjónustuvistfang lifir af skiptingu á þjóninum bak við það. Veldu af ásetningi, því að breyta þessu síðar þýðir að breyta bókamerkjum hvers biðlara og efni hvers skírteinis.

Fyrir eina innri þjónustu er bein færsla venjulega í lagi og auðveldari að hugsa um.

Fyrir hvað sem verður skipt út, endurbyggt eða stækkað er stöðugur framendi þess virði að bæta við stillingunni. Prófunin er einföld: ef þú getur skipt um bakendann án þess að segja notendum, er heitið bundið þjónustunni; ef ekki, er það bundið þjóni.

Prófaðu ákvarðanirnar tvær aðskildar

Leystu fyrst, tengdu svo. Leysingarprófun sem skilar væntanlegu vistfangi sannar slóð heitisins og segir ekkert um aðgang. Tengingarprófun sannar slóðina og regluna saman, svo keyrðu hana aðeins eftir að leysingin heppnast.

curl -sv --max-time 5 https://files.corp.example/health

Prófaðu svo bannaðan uppruna einu sinni og skráðu niðurstöðuna.

Haltu færslunum tveimur aðskildum í skjölunum þínum: heitinu og svæðinu þess, leyfðum uppruna og eiganda reglunnar. Þegar önnur breytist þarf hin ekki að gera það.

Hvar ákvörðunin fer venjulega úrskeiðis

Algeng mistök eru þjónusta sem birt er undir heiti sem leysist aðeins á skrifstofunetinu, með aðgangsreglu sem leyfir aðeins skrifstofubilið. Fjartengdir notendur tilkynna þá bilaða þjónustu sem er í raun tvö aðskilin andvarp. Önnur algeng mistök eru hið gagnstæða: breið aðgangsregla sem bætt var við til að losna við heiti vandamál skilur þjónustuna aðgengilega frá uppruna sem enginn ætlaði. Bæði eru andvarp í stillingum, og frá stól notandans líta þau eins út.

Hvorug mistökin sjást af einni heppnaðri prófun. Þess vegna eiga ákvarðanirnar tvær skilið aðskildar færslur og aðskildar prófanir, jafnvel þegar sami einstaklingur tekur þær báðar.

Skrifaðu bæði niður áður en þjónustan fer í loftið, því næsta breyting verður auðveldari að hugsa um. Færslan er stutt: ein lína fyrir heitið og svæðið þess, ein lína fyrir leyfðan uppruna og eiganda reglunnar.