Неге SRV жазбасы тек өзі сұрайтын клиентке көмектеседі

Аймағыңызға SRV жазбасын қосу ешбір VPN клиентін оны іздеуге үйретпейді. Клиент белгіні білуі, сұранысты жіберуге шешім қабылдауы және қайтып келгенге қарай әрекет етуі керек, ал DNS осылардың алғашқы екеуін қамтамасыз ете алмайды. Сондықтан сәтсіз SRV жоспарларының көбісі DNS киімін киген клиент мәселелері. Алдымен клиенттің анықтау мінез-құлқын оқыңыз, содан кейін ол шынымен сұрайтын белгіні ғана жариялаңыз.

Ешкім сұрамайтын жазба ешкімге көмектесе алмайды

SRV қызметтің орнын жариялайды; ол қызметті хабарламайды. Ештеңе жазбаны клиентке итермейді, және ешбір шешуші ешқашан сұралмаған атауды өз еркімен ұсынбайды. Іздеу қолданба оны орындауға шешім қабылдағанда басталады, сондықтан белгі өнім құжаттамасынан немесе бағдарламалық жасақтаманы желіде бақылаудан келуі керек. Клиентте анықтау қадамы жоқ жерде жазба аймақты өзгертеді, басқа ештеңе емес.

Сондықтан желідегі бір өнім жұмыс істей бастауы мүмкін, ал екіншісіне сол өзгеріс әсер етпейді. Айнымалы — бағдарламалық жасақтама, ал DNS сервері өзіне айтылғанды дәл орындайды. Өңдеуден кейін аймақты қайта оқыңыз, өйткені қате терілген белгі бәрі бірдей көрінетін жазбалардың арасында оңай жасырылады.

Жазбас бұрын өрістерді оқыңыз

Жазба төрт мәнді алып жүреді және әрқайсысы басқа сұраққа жауап береді: басымдық клиент сынай алатын мақсаттарды реттейді, салмақ бірдей басымдықтағы мақсаттар арасында жүктемені бөледі, порт көлік портын атайды, ал мақсат хостты атайды. Спецификация . мақсатына қызметтің әдейі қолжетімсіз екенін білдіруге де рұқсат береді, бұл бұзылған жауап емес, пайдалы жауап.

Бұл өрістердің ешқайсысы тіркелгі деректерін, сертификат саясатын немесе қолданба нұсқасын алып жүрмейді, ал салмақты елемейтін клиент бәрібір қосылады, тек жоспарланған тепе-теңдіксіз. Мақсаттың өз мекенжай жазбалары болуы керек және ол бүркеншік ат емес, канондық атау болуы тиіс. Тыңдаушысы жоқ хостқа сілтейтін жазбаны жариялау DNS ақауы сияқты оқылатын қосылу қатесін туғызады, ал бұл адасудың ең қымбат түрі. Бүкіл шынжырды жариялаңыз немесе одан ештеңе жарияламаңыз.

Клиент шынымен жіберетін белгіні табыңыз

Белгіні өнім атауы туралы болжамнан емес, дәлелдерден анықтаңыз. Не құжаттама қызмет атауын көрсетеді, не түсірілім клиент іске қосылғанда шығатын сұранысты көрсетеді. Екі жол да бір жерге келеді: шешушіге қарсы сынау үшін нақты атау мен түр.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Жауапты жариялаған жазбаңызбен таңба-таңба салыстырыңыз, өйткені астыңғы сызықтар мен соңғы нүкте атаудың бөлігі. Шынымен жіберілген сұранысқа бос жауап аймақты нұсқайды, ал сұраныстың мүлдем болмауы клиентті нұсқайды, және бұл тұжырымдар сізді әртүрлі топтарға жібереді. Нақты жауап төмендегі жолға ұқсайды, мұнда 20 басымдығы кез келген төменірек басымдықтағы жазбаға жоғалтады және клиент аталған мақсаттағы 8443 портын тереді.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Мақсат та болуы керек

Шешілетін мақсат жауап беретін қызметпен бірдей емес. Мақсаттың мекенжай жазбаларын тексеріңіз, содан кейін жарияланған порт пен хаттамада бірдеңе тыңдап тұрғанын тексеріңіз. Тек UDP тыңдаушысына сілтейтін TCP жазбасы — аймақты қанша өңдесеңіз де түзелмейтін сәйкессіздік. Мақсат қозғалыста болғанда TTL-ді қысқа ұстаңыз, ал атау қозғалуын тоқтатқанда ұзартыңыз.

Анықтауды шынымен іске асыратын клиенттер жазбаны қаншалықты құрметтейтінімен ерекшеленеді. Кейбіреуі тек басымдықты пайдаланады, кейбіреуі салмақты кеңес ретінде қарастырады, ал аздаған клиент портты елемей, әдепкі мәнді болжайды. Бұл айырмашылықтар белгінің жанындағы жазбаларыңызда болуы керек, өйткені олар әйтпесе шешуші ақауы сияқты көрінетін мінез-құлықты түсіндіреді.

Анықтау — аутентификация емес

SRV жауабы қайда қосылу керегін айтады және жеткеннен кейін кімге сену керектігі туралы ештеңе айтпайды. Клиенттің сертификатты тексеруін және сервер сәйкестігін тексерулерін бұрынғы қалпында қалдырыңыз, өйткені басқа біреу қолдан жасай алатын жазба сенім шешіміне айналмауы керек. DNS жауаптары кэштеледі және аймақты бақылайтын кез келген адам өңдей алады, бұл оларды саясатты кодтау үшін нашар орынға айналдырады.

Анықтауды қолдамайтын клиент үшін ол қабылдайтын профильді немесе шлюз URL-ін таратыңыз және қай өнім қай әдісті пайдаланатынын жазыңыз. Бұл жазба келесі әкімшінің жазба қосып, оның барлық жерде жұмыс істейтінін күтуіне жол бермейді. SRV спецификациясы мақсаттар арасындағы таңдауды сипаттайды, ал оны авторизация механизмі ретінде оқу — пайдалы жазбаның қауіпсіздік болжамына айналу жолы. Әдейі жариялаңыз, белгіні құжаттамаңызда атаңыз және клиентті осының бәрі маңызды ма екенін шешетін құрамдас ретінде қарастырыңыз.