Geografeschen DNS an anycast: de VPN-Agang kontrolléieren, deen Dir kritt

Geografeschen DNS an anycast wielen Agäng no ënnerschiddleche Reegelen. Kontrolléiert, wéi en Opléiser d’Äntwert reflektéiert, an dann ob d’Sessioun en Nodewiessel iwwerlieft.

Eng no DNS-Äntwert fillt sech wéi e geléiste Problem, bis d’Verbindung soss anzwousch landt. Geografeschen DNS an anycast probéieren allebéid de Wee ze verkierzen, an si huelen déi Entscheedung aus ënnerschiddlechen Informatiounen. Kees vun deenen zwee garantéiert, datt d’Gateway, déi Dir erreecht, erreechbar ass, datt se d’Identitéit presentéiert, déi Äre Client erwaart, oder datt Är Sessioun en Nodewiessel iwwerlieft. D’Kontrollen hei drënner trennen déi véier Froen.

Kontrolléiert, wien seng Plaz den Opléiser tatsächlech mellt

En autoritativen Enner, deen eng topologieempfindlech Ufro beäntwert, gesäit normalerweis d’Adress vum rekursiven Opléiser, deen gefrot huet, an net d’Adress vun der Persoun, déi den Numm agetippt huet. En zentraliséierten Opléiser kann wäit ewech vun de Cliente sinn, déi en zerwéiert, an d’Äntwert reflektéiert den Opléiser an net si. Dat ass keen Defekt; esou behëlt sech de Protokoll, ausser et gi weider Informatiounen. Spezifikatioun vum EDNS Client Subnet beschreift souwuel d’Limite wéi och de fakultative Remède.

EDNS Client Subnet kann Informatiounen iwwer den Ursprongsnetz droen, wann all Participant en ënnerstëtzt an aktivéiert. En ass fakultativ, en huet Konsequenzen fir d’Privatsphär an de Cache, an en ass keng Erlaabnes unzehuelen, datt en ëffentlechen Opléiser eng präzis Plaz vum Benotzer mellt. Frot d’Opléiserbedreiwer, ier Dir drop baut.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Kontrolléiert, wat d’anycast-Routing decidéiert huet

Bei anycast annoncéiere méi Plazen d’Erreechbarkeet fir eng Déngschtleeschtungsadress, an den Netz liwwert all Client un deen Node, deen säi Routing bevirzugt. Déi Wiel maachen BGP an d’Politik ronderëm, net d’Distanz op enger Kaart. Topologesch Noperschaft heescht och net allgemeng besser Leeschtung hin an zréck, well de Wee, dee kuerz ausgesäit, kënne iwwerlaascht oder asymmetresch sinn. D’Adress, déi Dir kritt hutt, seet näischt doriwwer, wéi en Node geäntwert huet.

Bestätegt d’Plaz vum Déngscht vun der Déngschtleeschtungssäit, oder aus enger Äntwert, déi se nennt, an net just aus der DNS-Äntwert. traceroute -n 198.51.100.20 weist de Wee, deen Dir geholl hutt, an nennt nach ëmmer net den Host um Enn, also liest en als Wee an net als Äntwert.

Kontrolléiert, datt d’Sessioun en Nodewiessel iwwerlieft

Eng DNS-Ufro ass kuerz an eng VPN-Sessioun ass laang, an déi zwou hunn komplett ënnerschiddlech Ufuerderungen un den Zoustand. D’Routing kann sech mëttel an der Sessioun verréckelen, an wann dat geschitt, kënne spéider Paketen un engem Node ukommen, deen Ären Tunnel ni gesinn huet. Ob dat z’iwwerliewe geet, hänkt vun der Ëmsetzung of: gedeelten Zoustand, eng bewosst Neiverbindung oder en dokumentéierte Fehler. D’Adress eleng gëtt keen dovun.

Observéiert d’Verreckelung, amplaz se unzehuelen. sudo tcpdump -ni any -c 20 esp weist déi baussenzeg Paketen, wärend de Wee sech ännert, an eng plötzlech Ännerung vun der Adress vum Partner ass déi Verréckelung selwer. Definitéiert dat gewënschte Verhalen ausdrécklech fir d’Ëmsetzung, déi Dir bedreift, a test et dann, andeems Dir en Wee wiesselt forcéiert. Wann den Design Sessiounsreplikatioun unhëlt, nennt de Mechanismus an nennt de Feeler, deen en net deckt.

Kontrolléiert, datt d’Identitéit nach ëmmer entsprécht

All Agang muss d’Identitéit presentéieren, déi Äre Clientprofil erwaart. En Zertifikat, dee fir den Numm vum Déngscht ausgestallt gouf, funktionéiert iwwer d’Noden, wärend Zertifikater pro Node de Client zwéngen, eppes Neies ze akzeptéieren, an do léiere Benotzer duerch Warnungen ze klicken. Halt d’erwaart Identitéit an de Profil am Aklang mam Agangsmodell.

Kontrolléiert et vun engem Client, deen en ongewéinlechen Node erreecht huet, well dat de Fall ass, wou en Zertifikat pro Node visibel gëtt. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com dréckt d’Kette an d’Nimm, an dat ass genee, wat de Client vergläicht. Entscheet duerno, ob de Profil sollt verschmälert ginn oder den Zertifikatsmodell geännert.

Kontrolléiert d’Opzeechnung, net just déi éischt Äntwert

Bewäert dräi Szenarien a schreift véier Fakten fir jiddwereen: normalen Agang, eng Plaz net verfügbar an de vereinbarte Wiederherstelungsfall. Déi véier Fakten sinn den Opléiser, dee benotzt gouf, d’Adress, déi zréckginn gouf, d’Plaz, déi zerwéiert huet, an e frëscht Uwendungsresultat. Déi Opzeechnung trennt e DNS-Auswielproblem vun engem Gatewayproblem, engem Routingproblem oder engem Sessiounszoustandsproblem. Ouni si gesinn all véier aus Clientssicht identesch aus.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Fuert d’Szenarien aus representativen Zougangsnetz a net just aus dem Büro, well déi ganz Fro geet drëm, wéi en Agang ënnerschiddlech Cliente tatsächlech erreechen. Ee Netz ass eng Probe vun engem.

Ähnlech Artikelen