Географиялык DNS жана эникаст: алынган VPN кирүү чекитин текшерүү

Географиялык DNS жана эникаст кирүү чекиттерин ар башка эрежелер менен тандайт. Жооп кайсы чечүүчүнү чагылдырарын, анан сессия түйүн алмашууга чыдайбы же жокпу текшериңиз.

Жакын DNS жообу байланыш башка жерге түшкөнгө чейин чечилген маселе сыяктуу сезилет. Географиялык DNS менен эникаст экөө тең жолду кыскартууга аракет кылат жана бул чечимди ар башка маалыматтан кабыл алат. Экөө тең жеткен шлюздун жеткиликтүү экенине, анын кардарыңыз күткөн инсандыкты көрсөтөөрүнө же сессияңыз түйүн алмашууга чыдаарына кепилдик бербейт. Төмөнкү текшерүүлөр ошол төрт суроону ажыратат.

Чечүүчү чындыгында кимдин ордун билдирерин текшериңиз

Топологияга сезимтал суроого жооп берүүчү ыйгарым укуктуу сервер адатта сураган рекурсивдүү чечүүчүнүн дарегин көрөт, атты терген адамдын дарегин эмес. Борборлоштурулган чечүүчү өзү тейлеген кардарлардан алыс болушу мүмкүн, жана жооп алардын ордуна чечүүчүнү чагылдырат. Бул кемчилик эмес; кошумча маалымат берилбесе, протокол ушундай жүрүм-турум көрсөтөт. EDNS кардардын ички тармагынын спецификациясы чектөөнү да, милдеттүү эмес чечимди да сүрөттөйт.

EDNS кардардын ички тармагы ар бир катышуучу аны колдоп, күйгүзгөндө баштапкы тармак жөнүндө маалыматты алып жүрө алат. Ал милдеттүү эмес, анын купуялуулукка жана кэшке таасири бар жана кандайдыр бир коомдук чечүүчү колдонуучунун так ордун билдирет деп божомолдоого уруксат эмес. Анын айланасында долбоорлоодон мурун чечүүчүлөрдүн операторлорунан сураңыз.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Эникаст маршруттоосу эмнени чечкенин текшериңиз

Эникаст учурда бир нече жай бир кызмат дарегинин жеткиликтүүлүгүн жарыялайт, ал эми тармак ар бир кардарды өз маршруттоосу артык көргөн түйүнгө жеткирет. Бул тандоону картадагы аралык эмес, BGP жана айланадагы саясат жасайт. Топологиялык жакындык да адатта жакшыраак барыш-келиш аткарууну билдирбейт, анткени кыска көрүнгөн жол тыгында же асимметриялуу болушу мүмкүн. Сизге берилген дарек кайсы түйүн жооп бергени жөнүндө эч нерсе айтпайды.

Кызмат ордун кызмат тарабынан же аны атаган жооптон ырастаңыз, жалгыз DNS жообунан эмес. traceroute -n 198.51.100.20 баскан жолуңузду көрсөтөт жана анын аягындагы хостту дагы эле атабайт, ошондуктан аны жооп эмес, жол катары окуңуз.

Сессия түйүн алмашууга чыдаарын текшериңиз

DNS суроосу кыска, ал эми VPN сессиясы узун, жана экөөнүн абал талаптары такыр башка. Маршруттоо сессиянын ортосунда жылышы мүмкүн, жана бул болгондо кийинки пакеттер туннелиңизди эч көрбөгөн түйүнгө жетиши мүмкүн. Буга чыдоого болобу ишке ашырууга байланыштуу: жалпы абал, атайын кайра туташуу же документтелген ийгиликсиздик. Жалгыз дарек ошолордун бирин да бербейт.

Жылышты божомолдобой байкаңыз. sudo tcpdump -ni any -c 20 esp жол өзгөргөн сайын сырткы пакеттерди көрсөтөт, жана өнөктөштүн дарегиндеги күтүүсүз өзгөрүү ошол жылыштын өзү. Ишке ашырууңуз үчүн көздөлгөн жүрүм-турумду так аныктаңыз, анан жолду өзгөртүүгө мажбурлоо менен аны сынаңыз. Эгер долбоор сессия репликациясын божомолдосо, механизмди атаңыз жана ал жаппаган ийгиликсиздикти атаңыз.

Инсандык дагы эле дал келерин текшериңиз

Ар бир кирүү чекити кардар профилиңиз күткөн инсандыкты көрсөтүүгө тийиш. Кызмат атына берилген сертификат бардык түйүндөрдө иштейт, ал эми түйүн боюнча сертификаттар кардарды жаңы нерсени кабыл алууга мажбурлайт, жана колдонуучулар эскертүүлөрдөн өтүүнү дал ошол жерден үйрөнүшөт. Күтүлгөн инсандык менен профилди кирүү моделине шайкеш кармаңыз.

Муну адаттан тыш түйүнгө жеткен кардардан текшериңиз, анткени түйүн боюнча сертификат көрүнгөн учур дал ошол. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com чынжырды жана аттарды басып чыгарат, жана кардар дал ошону салыштырат. Анан профилди тарылтуу керекпи же сертификат модели өзгөртүлүшү керекпи, чечиңиз.

Жазууну текшериңиз, биринчи жоопту гана эмес

Үч сценарийди баалаңыз жана ар бирине төрт факт жазыңыз: кадимки кирүү, бир жай жеткиликсиз, жана макулдашылган калыбына келтирүү учуру. Төрт факт — колдонулган чечүүчү, кайтарылган дарек, кызмат кылган жай жана колдонмонун жаңы жыйынтыгы. Бул жазуу DNS тандоо маселесин шлюз, маршруттоо же сессия абалы маселесинен ажыратат. Ансыз төртөө тең кардар тарабынан бирдей көрүнөт.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Сценарийлерди кеңседен гана эмес, өкүлдүк жетүү тармактарынан иштетиңиз, анткени бүт суроо ар башка кардарлар чындыгында кайсы кирүү чекитине жетээринде. Бир тармак бир нерсенин үлгүсү.

Тектеш макалалар