Эмне үчүн SRV жазуусу өзү сураган кардарга гана жардам берет

Зонаңызга SRV жазуусун кошуу бир да VPN кардарын аны издөөгө үйрөтпөйт. Кардар белгини билиши, сурам жөнөтүүнү чечиши жана кайтып келгенге жараша аракет кылышы керек, ал эми DNS булардын алгачкы экөөнү камсыздай албайт. Ошондуктан ийгиликсиз SRV пландарынын көбү DNS кийимин кийген кардар маселелери. Алгач кардардын аныктоо жүрүм-турумун окуңуз, анан ал чын эле сураган белгини гана жарыялаңыз.

Эч ким сурабаган жазуу эч кимге жардам бере албайт

SRV кызматтын ордун жарыялайт; ал кызматты жарыялабайт. Эч нерсе жазууну кардар тарапка түртпөйт, жана эч бир чечүүчү эч качан суралбаган атты өз демилгеси менен сунуштабайт. Издөө тиркеме аны аткарууну чечкенде башталат, ошондуктан белги продукттун документтеринен же программалык камсыздоону тармакта байкоодон келиши керек. Кардарда аныктоо кадамы жок жерде жазуу зонаны өзгөртөт, башка эч нерсени эмес.

Ошондуктан тармактагы бир продукт иштей башташы мүмкүн, ал эми экинчисине ошол эле өзгөрүү таасир этпейт. Өзгөрмө — программалык камсыздоо, ал эми DNS сервери ага айтылганды так аткарат. Оңдоодон кийин зонаны кайра окуңуз, анткени туура эмес терилген белги баары бирдей көрүнгөн жазуулардын арасында оңой жашырылат.

Жазганга чейин талааларды окуңуз

Жазуу төрт маанини алып жүрөт жана ар бири башка суроого жооп берет: артыкчылык кардар сынай алган максаттарды иреттейт, салмак бирдей артыкчылыктагы максаттардын ортосунда жүктү бөлөт, порт транспорт портун атайт, ал эми максат хостту атайт. Спецификация . максатына кызматтын атайын жеткиликсиз экенин билдирүүгө да уруксат берет, бул бузулган жооп эмес, пайдалуу жооп.

Бул талаалардын эч бири эсеп маалыматтарын, сертификат саясатын же тиркеменин версиясын алып жүрбөйт, ал эми салмакты этибарга албаган кардар баары бир туташат, бирок пландалган тең салмактуулуксуз. Максаттын өз дарек жазуулары болушу керек жана ал псевдоним эмес, канондук ат болушу тийиш. Уккучсуз хостко шилтеген жазууну жарыялоо DNS бузулушу сыяктуу окулган туташуу катасын жаратат, ал эми бул адашуунун эң кымбат түрү. Бүт чынжырды жарыялаңыз же андан эч нерсе жарыялабаңыз.

Кардар чын эле жөнөткөн белгини табыңыз

Белгини продукттун аты тууралуу божомолдон эмес, далилдерден аныктаңыз. Же документтер кызматтын атын көрсөтөт, же жазуу кардар ишке киргенде чыккан сурамды көрсөтөт. Эки жол тең бир жерге келет: чечүүчүгө каршы сыноо үчүн так ат жана түр.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Жоопту жарыялаган жазууңуз менен белги-белги салыштырыңыз, анткени астынкы сызыктар жана аягындагы чекит аттын бөлүгү. Чын эле жөнөтүлгөн сурамга бош жооп зонаны көрсөтөт, ал эми сурамдын такыр жоктугу кардарды көрсөтөт, жана бул тыянактар сизди ар башка топторго жөнөтөт. Чыныгы жооп төмөнкү сапка окшош, мында 20 артыкчылыгы кандай гана төмөнүрөөк артыкчылыктагы жазууга утулат жана кардар аталган максаттагы 8443 портун терет.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Максат да болушу керек

Чечилүүчү максат жооп берүүчү кызмат менен бирдей эмес. Максаттын дарек жазууларын текшериңиз, анан жарыяланган порт менен протоколдо бир нерсе уккуп жатканын текшериңиз. UDP гана уккучка шилтеген TCP жазуусу — зонаны канча оңдосоңуз да түзөлбөгөн дал келбестик. Максат кыймылда болгондо TTLди кыска кармаңыз, ал эми ат кыймылдоону токтоткондо узартыңыз.

Аныктоону чын эле ишке ашырган кардарлар жазууну канчалык урматтай турганы менен айырмаланат. Айрымдары артыкчылыкты гана колдонот, айрымдары салмакты кеңеш катары кабыл алат, ал эми аздары портту этибарга албай, демейки маанини божомолдошот. Бул айырмачылыктар белгинин жанындагы жазууларыңызда болушу керек, анткени алар болбосо чечүүчүнүн бузулушу сыяктуу көрүнгөн жүрүм-турумду түшүндүрөт.

Аныктоо — аутентификация эмес

SRV жообу кайда туташуу керектигин айтат жана жеткенден кийин кимге ишенүү керектиги тууралуу эч нерсе айтпайды. Кардардын сертификатты текшерүүсүн жана сервердин инсандыгын текшерүүлөрүн мурункудай эле калтырыңыз, анткени башка бирөө жасалма кыла алган жазуу ишеним чечимине айланбашы керек. DNS жооптору кэштелет жана зонаны көзөмөлдөгөн ар ким оңдой алат, бул аларды саясатты коддоо үчүн жаман жерге айландырат.

Аныктоону колдобогон кардар үчүн ал кабыл алган профилди же шлюз URLин таратыңыз жана кайсы продукт кайсы ыкманы колдонорун жазыңыз. Бул жазуу кийинки администратордун жазуу кошуп, анын бардык жерде иштейт деп күтүүсүнө жол бербейт. SRV спецификациясы максаттардын ортосундагы тандоону сүрөттөйт, ал эми аны авторизация механизми катары окуу пайдалуу жазуунун коопсуздук божомолуна айлануу жолу. Атайын жарыялаңыз, белгини документтериңизде атаңыз жана кардарды булардын баары маанилүүбү деп чечкен компонент катары караңыз.