DNS vum AWS Client VPN-Endpunkt: firwat d'Festleeë vun der opgeléister IP feelt

D'lescht Woch huet dig +short Iech eng Adress fir den Endpunktnumm an Ärem AWS Client VPN-Profil ginn, an den Tunnel huet sech verbonnen. Dës Woch steet dee selwechte Profil op 'Connecting' op Ärem Laptop, während d'net ugepasst Kopie vun engem Kolleg nach funktionéiert. Näischt gouf blockéiert an den Zertifikat ass net ofgelaf. Een huet den Hostnumm vum Endpunkt duerch déi opgeléist Adress ersat, an den Déngscht äntwert do net méi. Den exportéierten Numm ass deen Deel, dee gebaut gouf fir déi Ännerung z'iwwerliewen.

Den Numm an Ärem Profil ass vläicht net den Numm, deen ugefrot gëtt

Profiler, déi aus Client VPN exportéiert ginn, droen dacks remote-random-hostname. Mat dëser Optioun un baut de Client en Eemol-Etiquette, verbënnt en mat engem Punkt mam Endpunktnumm a léist den zesummegesaten Numm op. E Wildcard-Record an der Zon vum Endpunkt äntwert op all Etiquette, dofir léist sech e erfonnte Prefix nach ëmmer op a dofir bleift den Trick onsiichtbar, wann Dir d'Ufro vun Hand versicht z'erëmzestellen.

Also wann Dir den Endpunktnumm an en Terminal paste bem an eng Äntwert kritt, hutt Dir en aneren Numm opgeléist wéi deen, deen de Client beim Verbannen benotzt. Dës Diskrepanz ass kee Feeler, deen am Profil misst korrigéiert ginn. D'Etiquette gëtt bewosst nei generéiert: d'Optioun verhënnert, datt Caches eng veralt Äntwert halen, an et identifizéiert ni Äre Rechner oder Är Sessioun.

Ech sinn op de Kompatibilitéitsfall gestouss, wou e Client d'Optioun komplett ignoréiert. AWS dokumentéiert den Ëmwee: behält den echte Endpunktnumm a setzt eng zoufälleg Zeecheketten plus e Punkt dovirun, behandelt en als Numm-Muster an net als Wäert fir ze paste. Dat op en ale Client unzewennen ass vernünfteg; déi präfixéiert Zeecheketten als Endpunkt festzeleeën ass et net.

Firwat eng gespäichert Äntwert net richteg ka bleiwen

Client VPN-Endpunktadresse ginn vun AWS verwalt a änneren sech mat der Zäit, wat d'Dokumentatioun vun de beschten Praktiken direkt seet. Eng erfaasst Äntwert ass en Snapshot vun enger Opléisung. E Profil, deen se festleet, gëtt en Profil, deen op en ausser Betrib gesaten Host zilt, soubal den Déngscht sech beweegt, an de Feeler gesäit seelen aus wéi DNS: Dir kritt en Verbindungstimeout oder en hänkenge Handshake, dofir jage Leit Routing an Zertifikater no.

Déiselwecht Äntwert an /etc/hosts ierft déiselwecht Expiratioun mat engem zousätzleche Problem. En hosts-Agang iwwerlieft Neistarts, nei Exporten an 'Client nei installéieren'-Reparaturen, dofir kënnt de Feeler zréck all Kéier wann d'Adress sech beweegt. Ech hu gesinn, wéi een Wochenlaang harmlos louch an dann all Maschinn, déi en droen, ausser Betrib gesat huet, während frësch Installatiounen normal verbonnen hunn. Dës Spaltung, eng Grupp feelt an déi aner ass um selwechte Kont an der Rei, ass den bëllegste Hiweis, deen Dir kritt.

Begrenzt d'Randomiséierung richteg. Si geschitt pro Verbindungsversuch. En etabléierten Tunnel léist säin Endpunkt net nei op, wiesselt net mëttendrans d'Serv'er, an eenzel Applikatiounsufroe wielen net jee en neien VPN-Host. Nëmmen den nächsten Versuch léist erëm op, dofir seet eng Sessioun, déi de ganzen Nomëtteg funktionéiert, näischt iwwer muer de Moien.

Wat den Déngscht prüft, wann den Tunnel eropkënnt

Client VPN verlaangt, datt d'Adress, mat där Dir verbonnen sidd, mat enger Adress iwwerenee stëmmt, déi fir den DNS-Numm vum Endpunkt opgeléist gouf. Dës eenzeg Ufuerderung erklärt verschidde Feeler, déi onverbonne schéngen: en eegene DNS-Record, deen anzwousch anescht weist, en eegene Frontend, deen op déi richteg Endpunktadress weiderleet, an e Profil, deen op eng roh Adress ëmgeschriwwe gouf. AWS dokumentéiert d'Kombinatioun aus eegene Record an Weiderleedung als Feeler mat neie vun AWS geliwwerte Clienten. D'Prüfung ass schmuel; et ass keen Urteel, datt all Alias verbueden ass.

Et ass och keng allgemeng Regel iwwer VPN-Protokoller. Eng numeresch remote ass vollkommen gülteg an enger gewéinlecher OpenVPN-Installatioun, a vill lafen esou. D'Aschränkung kënnt vun der verwaltener Arrangement, net vum Protokoll drënner.

Wat d'Lockerung vun der Zertifikatsprüfung zum falsche Reflex mécht. Wann e Profil no engem Adresswiessel feelt, verréckelt d'Ofschalte vun der Serverprüfung de Feeler, amplaz d'Opléisung oder d'Adress-Match-Ufuerderung ze reparéieren, an hannerléisst e Client, deen allem vertraut. Halt de CA, d'Serverprüfung an d'Astellunge fir géigesäiteg Authentifizéierung genee esou wéi se komm sinn.

Erlaabnislëschten, Ausgang a privat DNS sinn dräi getrennt Problemer

Eng Firewall-Reegel, déi en Zil muss erlaben ier e Laptop sech verbënnt, geet ëm den äussere Lauschterer. Gitt dem Netzwierkbesëtzer den Endpunktnumm, den Transport an de konfiguréierte Port, a frot dann, ob hir Kontroll dem DNS-Verhalte vum Déngscht follege kann. Eng Regel, déi eng erfaasst Adress hält, ass e Snapshot mat enger ongeschriwwener Expiratioun. Wann d'Kontroll nëmmen onverännerlech Ziler akzeptéiert, léist déi Lück virum Rollout amplaz eis Äntwert heemlech festzeleeën.

E Partner, deen eng fix Quelladress fir Ufroen no dem Opbau vum Tunnel brauch, huet eng aner Ufuerderung: den Ausgang. Wat eng Websäit gesäit, hänkt vun der Applikatiounsroute an der Split-Tunnel-Politik of, net vun der Adress, mat där de Client verbonne war. Split-Tunnel-Trafic beréiert AWS vläicht guer net.

Privat DNS am Tunnel ass eng drëtt Schicht. Den Resolver, deen de Clienten iwwergi gëtt, äntwert no der Verbindung op intern Nimm; en kann den ëffentlechen Endpunkt net opléisen ier den Tunnel existéiert. De Feeler bei der Endpunkt-Opléisung an de Feeler bei der interner Applikatiouns-Opléisung geschéien a verschiddene Phase, an hirem Vermëschen schéckt Iech an de falsche Log.

D'Adressfamill gehéiert op déiselwecht Lëscht. Eng IPv4-Äntwert seet näischt iwwer dee erlaabte Wee vun engem IPv6- oder Dual-Stack-Endpunkt, dofir ass en Snapshot aus enger Famill kee Beweis fir déi aner.

Prüft eng Verbindung ouni eppes festzeleeën

Fänkt mam Profil un, wéi en exportéiert gouf, a liest, wat en tatsächlech freet:

grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'

Vergläicht dann dräi Saachen: den Endpunktnumm am Profil, d'Adress, déi de Client fir en neie Versuch mellt, a wat den Numm just elo opgeléist. En Numm, deen sech opléist, beweise just, datt de Record äntwert; Transport an Authentifizéierung sinn getrennt, an den Endpunkt muss net op e Ping äntweren. De Log vum Client selwer ass déi eenzeg Quell fir de mëttleren Element, also erfaasst en wärend dem Versuch an net duerno.

Eng Adress, déi haut äntwert, ass en Beweis iwwer haut; den Numm ass dat, wat den Déngscht gülteg hält. Notéiert d'Observatioun, schéckt se un deen, deen den Endpunkt besëtzt, a loosst de Profil op den Numm weisen.

Zwou Gewunnechten, déi een opgëtt: Zertifikatsprüfunge ausschalten, fir en hänkenge Handshake z'iwwerbrécken, an Etiketten virum Endpunktnumm ze stapelen an der Hoffnung, datt eng hält. Eng Etiquette léist sech iwwer de Wildcard-Record op, oder de Problem ass anzwousch anescht. Wann e richteg konfiguréierte Profil nach ëmmer feelt, schéckt déi genee Ufro an d'Verbindungsevenement, net en längeren Hostnumm.

Ier Dir et zoumaacht: de Profil dréit nach den exportéierten Endpunktnumm, keng hosts-Datei fixéiert d'Adress, den remote am Client-Log entsprécht enger aktueller Opléisung, an d'Firewall-Reegel nennt den Endpunkt an net eng Adress. Dat ass och dee Zustand, deen een dem nächste Mënsch iwwergibt.