AWS Client VPN DNS: subnet эмес, VPC resolver колдонуңуз

Endpoint 10.0.8.0/24 ичинде, ошондуктан resolver 10.0.8.2 болушу керек. Бул эң көп угулган ой жүгүртүү жана эки жолу туура эмес. Route 53 Resolver VPCнин негизги IPv4 диапазонунун плюс эки дарегинде жооп берет, бул 10.0.0.0/16 VPC үчүн 10.0.0.2, endpoint кайсы subnet колдонсо да. Экинчи ката унчукпайраак: endpointке туура даректи коюу клиенттин операциялык системасы андан бир нерсе сурайт дегенди билдирбейт. Эки ката тең бирдей симптом берет: аттарды чечүү кээ бир клиенттерде иштейт, башкаларында ийгиликсиз болот.

Миф subnet байланышынан башталат

Байланыш клиенттик туташуулар үчүн ийкемдүү тармактык интерфейстер кайда жайгашканы тууралуу, кайсы resolver дареги бар экени тууралуу эмес. Endpointтин subnetтери клиенттерге VPC ичинде дарек берет жана алардын ар бири өз resolverин алып жүрбөйт.

Бул эки идеяны бөлгөндө, арифметика сырдуу болуудан калат жана көйгөйдү издөө клиентке өтөт, бул иштердин көбү чындыгында ошол жерде бүтөт.

Даректи VPCнин негизги диапазонунан эсептеңиз

VPCнин негизги IPv4 CIDRин алып, тармактык дарекке экини кошуңуз. 10.0.0.0/16 10.0.0.2 берет, 172.31.0.0/16 172.31.0.2 берет, ал эми экинчи диапазону бар VPC resolverди негизгисинде кармайт. Ошол VPC ичиндеги 10.0.8.0/24 subnet аны жылдырбайт. Endpointке тийүүдөн мурун даректи VPC IDнин жанына жазыңыз, анткени сан VPCнин касиети, туташуунуку эмес.

VPC link-local 169.254.169.253 дарегинде да жооп берет. Бул дарек VPC ичинен жеткиликтүү, бирок туннелдин аркы тарабындагы ноутбук үчүн жалпы маршрутталган максат эмес.

Ошентип эки жарактуу resolver дареги бар жана алардын эч бири subnet плюс эки эмес.

Endpoint параметри эмне кылат, эмнени кылбайт

Client VPN endpointинде DNS сервер талаалары бар, ал эми консол VPC resolver опциясын сунуштаган жерде ошол эле идеяны толтурат. Аларды коюу туташуу орнотулганда кызматтын клиенттерге эмне берээрин өзгөртөт. Бул башкарылбаган OpenVPN клиентинин ошол маани менен эмне кылаарын өзгөртпөйт, анткени клиент аны операциялык системага колдонушу керек. «Менин Macимде иштейт, Linux машинасында иштебейт» деген сөз ушул кемтиктен келет.

Linuxта resolver интеграциясы туташуу менеджерине таандык, колдонуучуга эмес. /etc/resolv.conf файлын кол менен оңдоо даректин бир сессия үчүн иштешин далилдейт, анан кайра туташууда жоголот — ошондуктан оңдолгон иштердин көбү эртең менен кайра келет.

Туташкандан кийин клиенттеги активдүү resolverди текшериңиз, endpointтин конфигурация барагын эмес.

Split tunneling туура resolverди жеңиши мүмкүн

Split tunnelingде туннелге түртүлгөн маршруттар гана колдонулат. Эгер resolver дареги кандайдыр бир маршрут менен капталбаса, сурам жергиликтүү интерфейс аркылуу чыгып, үйүңүздөгү роутер жооп берет. Endpointтеги дарек дагы эле туура жана издөө дагы эле ийгиликсиз. Resolver үчүн маршрут кошуп, кайра сынаңыз.

Кайчылашкан жергиликтүү диапазондор ушундай эле натыйжаны жагымсыз түрдө берет: сурамга жооп келет, бирок туура эмес серверден.

Amazon DNS дареги үчүн security group ачпаңыз

Издөө убактысы бүткөндө инстинкт resolver дарегине UDP 53 уруксат берген эрежени кошууга түртөт. AWS документтештирет: security groupтар жана тармактык ACLдар Amazon DNS трафигин өз DNS инстансына барган трафик сыяктуу фильтрлебейт. Бул эрежелерди ачуу VPC resolver үчүн эч нерсени өзгөртпөйт жана чекти себепсиз кеңейтет. Өзүңүз жүргүзгөн resolver башка учур жана чындыгында өз эрежелерин талап кылат.

Эгер долбооруңузда экөө тең болсо, кандайдыр бир эрежени оңдоодон мурун клиент чындыгында кайсыны көздөп жатканын текшериңиз.

Жолду текшериңиз, анан башка нерсени өлчөңүз

Коомдук атты чечиңиз, VPC менен байланышкан жеке хостинг зонасында катталган жеке атты чечиңиз жана экөөнүн ортосунда клиенттин активдүү resolverин окуңуз. Бул ырааттуулук «resolver дареги туура эмес» дегенди «зона байланышпаган» жана «клиент жөндөөнү эске алган эмес» дегенден бөлүп турат. Ар биринин оңдоосу башка жана эч бири өткөрүү жөндөмдүүлүгүнүн көйгөйү эмес.

Ийгиликтүү издөө туруктуу өткөрүү ылдамдыгы тууралуу эч нерсе айтпайт, ошондуктан отчёт бергенде бул эки сүйлөшүүнү өзүнчө кармаңыз.