Skjöl fyrir split-tunnel þurfa DNS-reglu við hverja leið
Leið ákveður eftir vistfangi, leysir ákveður eftir nafni. Skjalfestið báða valana fyrir hvert flæði, hvorn með einni prófun, annars bregst athugasemdin þegar DNS færist.
Athugasemd um split-tunnel sem segir "skrifstofuumferð fer í gegnum VPN" hefur skjalfest eina ákvörðun og gefið í skyn þrjár aðrar. Á pakkalaginu velur leiðartafla viðmót eftir áfangavistfangi; á nafnalaginu velur leysir þjón eftir fyrirspurn, og þessar tvær ákvarðanir eru teknar óháð. Þess vegna getur rétt skjalfest forskeyti enn framleitt vél sem leysir innra nafn í opinbert vistfang, eða leysir ekkert á meðan leiðin virðist fullkomin.
Tveir valar, ein tengingartilraun
Þegar forrit tengist files.corp.example, eiga sér stað tvær uppflettingar áður en pakki verður til. Leysirinn ákveður hvaða þjónn fær fyrirspurnina, með leitarsvæðum, leiðarsvæðum á hverja tengingu eða skýrri reglu í sniði. Leiðartaflan ákveður síðan hvert vistfangið sem verður til fer, með lengstu forskeytispassun við áfangann.
Ekkert tengir þessar tvær ákvarðanir. Einkasvæði getur svarað með 10.20.4.11 á meðan leiðartaflan sendir 10.20.0.0/16 inn í göngin, og tengingin virkar. Snúið hvorri sem er við og hún bregst á þann hátt að hún lítur út eins og hin: rétt DNS-stefna auk leiðar sem vantar gefur leyst nafn og tíman út, en rétt leið auk opinbers leysis gefur vistfang sem beinist hreint á rangann stað.
Split-horizon DNS gerir þetta skarpara. Sama nafn getur skilað einkavistfangi frá innri leysinum og opinberu vistfangi frá þeim sem snýr að internetinu, svo athugasemd sem skráir aðeins forskeytið getur ekki spáð fyrir um hvaða vistfang biðlarinn muni raunverulega nota. Skrifið slóð leysisins eða vistfangið er gisk.
Hvað athugasemd um leið eingöngu sleppir
Skrá um leið eingöngu er gagnslaus fyrir algengustu bilun split-tunnel: nöfn. Notandinn tilkynnir að innranet hleðst ekki, göngin eru uppi og forskeytið er til staðar. Sá sem tekur miðann hefur enga skrá um hvaða leysir hefði átt að svara, ekkert til að greina rangt leitarviðskeyti frá lokuðum þjóni og enga grunnlínu til að bera saman við.
Önnur sleppingin er undantekningalistinn. Hönnun split-tunnel skilgreinist jafnmikið af því sem er utan gönganna og því sem fer inn í þau, og útilokuðu sviðin eru venjulega þau sem brotna fyrst, því nákvæmari staðbundin leið eða sía á biðlarahlið getur hnekkt ætluninni án þess að snerta sniðið.
Þriðja er fjarlægi hlið ganganna. Biðlaraleið setur pakkann bara á vírinn; gáttin verður samt að senda hann áfram og hafa leið til baka. Leiðarvísir strongSwan um áframsendingu minnir á að reglur um áframsendingu og eldvegg á gáttinni eru hluti af eiginleikanum, ekki hluti af pípulögn sem má gera ráð fyrir.
Reitirnir sem gera athugasemdina keyranlega
Ein röð fyrir hvert flæði, og flæði er áfangastaður auk nafns auk eiganda. Þetta eru reitirnir sem standa af sér kynni við raunverulegt atvik:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
Röðin "hvar það býr" er sú sem fólk sleppir. Forskeyti sem þjónninn ýtir, leið sem biðlarasnið bætir við og leið sem slegin er inn í skel eru frábrugðin að því hver getur breytt þeim og hvort þær standast endurtengingu. Án þess reits getur næsti verkfræðingur ekki sagt hverra þriggja hann er að skoða.
Ein prófun á hverja reglu, ekki ein á hver göng
Hver röð þarf tvær skaðlausar athuganir: eina sem þjálfar leiðina og eina sem þjálfar nafnið. Fyrir leiðina, biðjið um eitthvað sem verður að fara í gegnum göngin og staðfestið slóðina frekar en aðgengið, til dæmis tracert -d 10.20.4.11 á Windows eða ip route get 10.20.4.11 á Linux. Fyrir nafnið, fyrirspyrjið einkanafnið og skráið hvaða þjónn svaraði, með resolvectl query files.corp.example eða dig files.corp.example gegn leysinum sem athugasemdin nefnir.
Bætið einnig við neikvæðri væntingu: hvað ætti að gerast þegar göngin eru niðri. Útilokað forrit á Android eða iOS tæki með blokkun án VPN virkri gæti ekki haft neina nettengingu, og skjáborðsbiðlari getur látið sama forrit virka á meðan göngin endurtengjast. Skráning á fyrirhuguðu svari breytir "VPN braut forritið mitt" í staðhæfingu sem hægt er að athuga.
Haldið skránni með stillingunni
Geymið athugasemdina við hlið sniðsins sem hún lýsir og útgáfumerkið hana með því sniði. Skjal á wiki sem enginn uppfærir er orðrómur; töflu í sama geymslu og ýttu leiðirnar og stefna leysisins má yfirfara í sömu breytingu.
Þegar eitthvað brotnar, berið saman beittu leiðina og virka leysinn við skrána áður en þið bætið við annarri undantekningu. Tveir af þremur algengum orsökum — gömul regla um nafnrými og hjálparferli utan stefnu forritsins — líta nákvæmlega út eins og VPN-bilun og eru ósýnilegir ef athugasemdin telur aðeins upp forskeyti.
Áður en þið kallið athugasemdina fullbúna, staðfestið að hún svari þessu skriflega: hvaða forskeyti, fyrir hvaða vistfangafjölskyldu; hvaða einkanafnrými, svarað af hvaða leysi; hvaða nöfn haldist viljandi opinber; hvar hver regla er stillt og hver á hana; og eina skipunin sem sannar leiðina og sú sem sannar nafnið. Ef eitthvað af þessu vantar verður næsta atvik greint frá grunni.