Hvers vegna split-tunnel reglan þín hætti að passa við þjónustu

Reglan festir forskeyti og þjónustan flutti sig. Lestu áfangastaðinn sem appið notar í raun, og gerðu síðan við vélbúnaðinn í stað þess að víkka undantekninguna.

Split-tunneling mistekst venjulega á einn af tveimur vegu. Annaðhvort fer umferð sem ætti að vera inni í göngunum fram hjá þeim, eða umferð sem ætti að vera úti er dregin inn. Bilunin vegna úreltrar reglu er fyrsta tegundin, og hún er sú ruglingslegri, því reglunni er framfylgt nákvæmlega eins og hún er skrifuð. Það sem breyttist er áfangastaðurinn: þjónustan svarar nú á vistfang sem reglan nefndi aldrei, og ekkert er að göngunum.

Hvað reglan festir og hvað DNS skilar

Split-tunnel regla er stöðug fullyrðing um áfangastaði, venjulega sett fram sem forskeyti, leið eða vistfangalisti. Hún er metin út frá áfangastað pakkans þegar sent er. Hýsilnafn er uppfletting sem skilar mengi vistfanga með líftíma og skyndiminni, og svarið getur verið mismunandi eftir resolver, eftir fyrirspurnartegund og eftir mínútu.

Þessir tveir hlutir semja aldrei sín á milli. Reglan heldur áfram að passa forskeytið sem hún fékk, þjónustan heldur áfram að breyta vistfanginu sem hún gefur út, og bilið á milli þeirra breikkar hljóðlega. Þess vegna birtist einkennið eftir flutning þjónustuveitanda eða endurnýjun skírteinis en ekki eftir stillingabreytingu. Enginn breytti göngunum, svo enginn horfir á göngin, og greiningin rekur sig að appinu í stað stefnunnar.

Þrjár leiðir sem samsvörunin brotnar

Hið augljósa tilvik er flutt þjónusta: rekstraraðilinn gaf henni nýtt vistfang, DNS fylgdi, en undantekningin ekki. Önnur er vistfangafjölskylda sem reglan náði aldrei yfir, sem gerist þegar nafn byrjar að skila AAAA færslum sem undantekning eingöngu fyrir IPv4 hunsar. Þriðja er resolver munur: innra og opinbert yfirlit geta skilað mismunandi vistföngum fyrir sama nafn, svo vistfangið sem appið þitt notar er ekki það sem þú prófaðir með.

Skyndiminni tenging er fjórða afbrigðið og auðvelt að missa af. Appið gæti enn verið að tala við vistfang sem það leysti fyrir klukkustund, sem þýðir að fersk uppfletting þín og opinn socket þess eru ekki sammála um hvar þjónustan býr.

Lestu áfangastaðinn sem appið notar í raun

Spurðu stýrikerfið og socket-töfluna, ekki vafraflipa. Uppflettingin svarar því hvað nafnið leysist í núna, og socket-taflan sýnir vistfangið sem ferlið er tengt við, sem gæti verið eldra. Keyrðu bæði áður en þú myndar kenningu, því munurinn á milli þeirra er sjálfur svarið í um það bil helmingi tilvika.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Berðu síðan saman við það sem reglan nær yfir. Ef núverandi vistfang fellur utan undantekningarinnar og beiðnin mistekst samt, hefur þú fundið orsökina án þess að snerta stillingar ganganna. Ef appið er tengt vistfangi sem passar við regluna og beiðnin mistekst samt, er vandamálið einhvers staðar handan ganganna og þetta er röng rannsókn.

Gerðu við vélbúnaðinn, ekki einkennið

Ef varan styður viðhaldið lénsmiðað stýringu, notaðu hana og fylgdu skjalfestri endurnýjun og umfangi hennar. Það kemur í stað stöðugrar ágiskunar með viðhaldið svar, á þann kostnað að vera háð því að eiginleikinn virki eins og skjalfest er.

Ef hönnunin hvílir á stöðugum lista, gefðu honum eiganda og uppfærsluáætlun. Áætlunin ætti að segja hvernig vistfangið finnst, hver samþykkir breytinguna og hversu hratt búist er við að listinn fylgi flutningi þjónustuveitanda. Listi án eiganda er framtíðarstopp með þekktri orsök.

Ekki víkka undantekninguna út í stórt nágrannanet bara til að grípa hvert það vistfang sem þú sást í stuttu prófi. Það er ekki viðgerð; það er varanleg breyting á öryggismörkum, og það mun hljóðlega leyfa óskyldum þjónustum að fara fram hjá göngunum svo lengi sem reglan er til.

Staðfestu báða helminga áformsins

Split-tunnel hönnun hefur tvö áform, og viðgerð ætti að varðveita bæði. Vernduð þjónusta verður að fara í gegnum göngin, og útilokuðu flokkarnir verða að halda áfram að fara fram hjá þeim. Prófaðu ferska tengingu við viðgerða áfangastaðinn, prófaðu síðan eitthvað sem á að vera úti.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Skráðu nýja vistfangið, vélbúnaðinn sem þú valdir og dagsetninguna. Þessi athugasemd er það sem kemur í veg fyrir að næsta manneskja álykti að VPN hafi af handahófi hunsað eigin stillingar.

Tengdir greinar