DNS bei AWS Client VPN: benotzt de VPC-Resolver, net d’Subnetz

Den Endpunkt läit an 10.0.8.0/24, also muss de Resolver 10.0.8.2 sinn. Dat ass déi Begrënnung, déi ech am dackste héieren, an se ass zweemol falsch. Route 53 Resolver äntwert um primäre IPv4-Beräich vun der VPC plus zwee, wat fir eng VPC vun 10.0.0.0/16 10.0.0.2 ass, egal wéi eng Subnetz den Endpunkt benotzt. Den zweeten Feeler ass méi roueg: déi richteg Adress am Endpunkt setzen heescht net, datt d’Betribssystem vum Client se iergendwann eppes freet. Béid Feeler ginn déiselwecht Symptomer: d’Nimmopléisung funktionéiert bei verschiddene Clienten a versot bei aneren.

De Mythos fänkt bei der Subnetz-Associatioun un

D’Associatioun geet drëm, wou d’elastesch Netzwierkinterfacen fir Clientverbindunge sinn, net drëm, wéi eng Resolver-Adress existéiert. D’Subnetze vum Endpunkt ginn de Clienten eng Adress bannent der VPC, a se droen net all hir eege Resolver.

Soubal Dir déi zwou Iddien trennt, ass d’Arithmetik net méi geheimnisvoll, an d’Fehlersich geet op de Client, wou déi meescht vun dëse Fäll tatsächlech ophalen.

Rechent d’Adress aus dem primäre VPC-Beräich

Huelt de primären IPv4-CIDR vun der VPC a setzt zwee op d’Netzwierkadress. 10.0.0.0/16 gëtt 10.0.0.2, 172.31.0.0/16 gëtt 172.31.0.2, an eng VPC mat engem zweete Beräich behält de Resolver um primären. Eng Subnetz vun 10.0.8.0/24 bannent där VPC verréckelt en net. Schreift d’Adress nieft der VPC-ID, ier Dir den Endpunkt beréiert, well d’Zuel eng Eegeschaft vun der VPC ass an net vun der Verbindung.

D’VPC äntwert och op der link-local Adress 169.254.169.253. Déi Adress ass bannent der VPC erreechbar, awer se ass keen allgemeng gerouteten Zil fir e Laptop um aneren Enn vun engem Tunnel.

Et gëtt also zwou gülteg Resolver-Adressen, an keng dovun ass d’Subnetz plus zwee.

Wat d’Endpunkt-Astellung mécht an wat net

Den Client VPN-Endpunkt huet DNS-Server-Felder, a wou d’Konsol eng VPC-Resolver-Optioun ubitt, fëllt se déiselwecht Iddi. Se setzen ännert, wat den Déngscht de Clienten beim Opbau vun der Verbindung gëtt. Et ännert net, wat en onverwalteten OpenVPN-Client mat deem Wäert mécht, well de Client en nach ëmmer um Betribssystem muss uwenden. Vun dëser Lück kënnt «et geet op mengem Mac awer net op der Linux-Këscht».

Op Linux gehéiert d’Resolver-Integratioun dem Verbindungsmanager an net dem Benotzer. /etc/resolv.conf vu Hand z’änneren beweist, datt d’Adress fir eng Sitzung funktionéiert an dann bei der Neiverbindung verschwënnt — dofir kommen sou vill gefléckte Fäll den nächsten Moien erëm.

Kontrolléiert den aktiven Resolver um Client no der Verbindung, net d’Konfiguratiounssäit vum Endpunkt.

Split-Tunneling kann e korrekten Resolver ausheelzen

Bei Split-Tunneling ginn nëmmen d’Routen benotzt, déi an den Tunnel gedréckt ginn. Wann d’Resolver-Adress net vun enger Route bedeckt ass, verléisst d’Ufro d’lokal Interface an däi Heemrouter äntwert. D’Adress am Endpunkt ass nach ëmmer richteg an d’Sich versot nach ëmmer. Setzt d’Route fir de Resolver derbäi an testt dann nach eng Kéier.

Iwwerlappend lokal Beräicher ginn déiselwecht Resultat op eng manner agreabel Manéier: d’Ufro kritt eng Äntwert, just vum falschen Server.

Maacht keng Sécherheetsgruppen op fir d’Amazon DNS-Adress

Den Instinkt, wann Sichen oflafe kann, ass eng Regel derbäizemaachen, déi UDP 53 op d’Resolver-Adress erlaabt. AWS dokumentéiert, datt Sécherheetsgruppen a Netzwierk-ACLen den Amazon DNS-Traffic net esou filteren, wéi se Traffic op eng eege DNS-Instanz filteren. Dës Reegelen opzemaachen ännert näischt fir de VPC-Resolver a breet d’Grenz ouni Grond aus. E Resolver, deen Dir selwer bedreift, ass en anere Fall an huet tatsächlech seng eegen Reegelen néideg.

Wann béides an Ärem Design optrieden, kontrolléiert, op wéien de Client tatsächlech weist, ier Dir eng Regel ännert.

Verifizéiert de Wee, da messt eppes anescht

Léist en ëffentlechen Numm op, léist en private Numm op, deen an enger privater gehosteter Zone registréiert ass, déi mat der VPC verbonnen ass, a liest tëschend deenen zwee den aktiven Resolver vum Client. Déi Reiefolleg trennt «d’Resolver-Adress ass falsch» vun «d’Zone ass net verbonnen» an «de Client huet d’Astellung ignoréiert». All eenzel huet eng aner Korrektur, an keen ass e Problem mat der Duerchleet.

Eng erfollegräich Sich seet näischt iwwer dauerhaft Iwwerdroungsgeschwindegkeet, also haalt déi zwou Gespréicher getrennt, wann Dir beriicht.