Privaten DNS-Numm oder just eng IP? Entscheet, ier dir en deelt

Zwou Froen vermëschen sech, wann en private Déngscht fir Fernbenotzer opgemaach gëtt. Déi éischt ass, wéi en Numm d'Cliente solle benotzen; déi zweet ass, wéi eng Quelle den Déngscht soll zouloossen. Äntwert op si an dëser Reihenfolg, well e richtegen Numm hannert enger falscher Zougrëffsregel nach ëmmer feelt, an eng richteg Regel hannert engem Numm, deen net opgeléist gëtt, ni getest gëtt.

Éischt Bedingung: wéi ee Resolver-Wee hunn d'Cliente?

En privaten Numm funktionéiert nëmmen, wann de Resolver vum Client en äntwere kann. Dat heescht, en autoriséierte Fernclient muss en DNS-Server erreechen, deen d'Zon hält, entweder duerch den Tunnel oder duerch e Resolver, deen d'Organisatioun schonn fir Fernbenotzer bedreift. Den Tunnel ass en Transport, keen Adressverzeechnis. Hie gëtt dem Client e Wee bis bei e Resolver, an hie seet him net, wéi eng Zon hie froe soll.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

En ëffentleche Resolver léiert keng privat Zon, well de Laptop mat engem VPN verbonne war.

De Suffix verdéngt déi selwecht Opmierksamkeet. Benotzt eng Subdomain vun enger Domain, déi d'Organisatioun kontrolléiert, sou datt Eegentum a Certificatsplangung explizit bleiwen. Vermeit .local: d'Spezifikatioun vu multicast DNS bënnt dee Suffix un d'Link-local-Opléistung, an en gerouteten Tunnel reproduzéiert dee Verhalen net fir Iech.

Zweet Bedingung: wéi eng Quell kritt den Déngscht?

Zougrëffsregele ginn géint Adressen geschriwwen, dofir ass déi nëtzlech Fro, wéi eng Adress den Déngscht no Routing an Iwwersetzung gesäit. Fir en Beispilldéngscht op 10.20.30.40 kommen Bürocliente vun 10.20.30.0/24 an Ferncliente vun engem separate Pool wéi 10.99.0.0/24.

Wann eng Gateway de Fernpool iwwersetzt, gesäit den Déngscht den Iwwersetzer, an eng Regel, déi fir 10.99.0.0/24 geschriwwe gouf, wäert net passen.

Liest dat vun der Säit vum Déngscht an net vun der Säit vum Client. E Lauschterlog oder e Paketofgrëff um Host vum Déngscht weist d'Quell, déi tatsächlech ukomm ass; d'Adress vum Client selwer ass just eng Viraussetzung iwwer dat, wat de Wee iwwerlieft huet.

Drëtt Bedingung: ass den Numm un en Déngscht oder un en Host gebonnen?

En Numm, deen op d'Adress vun enger Maschinn weist, bënnt all Client un déi Maschinn. En Numm, deen op e Load Balancer oder eng stabil Déngschtadress weist, iwwerlieft den Ersatz vum Host hannert him. Wielt bewosst, well dat méi spéit z'änneren heescht, d'Lieszeechen vun all Client an de Sujet vun all Certificat z'änneren.

Fir een eenzegen internen Déngscht ass en direkten Aschreiwung meeschtens gutt a méi einfach ze bedenken.

Fir alles, wat ersat, nei opgebaut oder skaléiert gëtt, ass eng stabil Frontend d'Zousazkonfiguratioun wäert. Den Test ass einfach: wann dir den Backend kënnt ersetzen, ouni de Benotzer ze soen, ass den Numm un den Déngscht gebonnen; wann net, ass en un en Host gebonnen.

Test déi zwou Entscheidungen getrennt

Léist fir d'éischt op, da verbënnt. En Opléistest, deen déi erwaart Adress zréckgëtt, beweist den Nummwee a seet näischt iwwer den Zougrëff. En Verbindungstest beweist de Wee an d'Regel zesummen, dofir féiert en just aus, nodeems d'Opléistung gelungen ass.

curl -sv --max-time 5 https://files.corp.example/health

Test duerno eemol eng verbuede Quell, a schreif d'Resultat op.

Haalt déi zwou Aschreiwungen ausernee an Ärer Dokumentatioun: den Numm an seng Zon, déi zougeloosse Quelle an den Eegentemer vun der Regel. Wann dat engt ännert, muss dat anert net.

Wou d'Entscheedung meeschtens schief geet

Den heefegste Feeler ass en Déngscht, deen ënner engem Numm publizéiert gëtt, deen nëmmen um Büronetz opgeléist gëtt, mat enger Zougrëffsregel, déi nëmmen de Büroberäich zouloosst. Fernbenotzer mellen dann en defekten Déngscht, deen tatsächlech aus zwou getrennten Ausloossungen besteet. Den zweeten heefegste Feeler ass de Géigendeel: eng breet Zougrëffsregel, déi dobäi koum, fir e Nummproblem ewechzemaachen, léisst den Déngscht vun Quelle erreechbar, déi kee virgesinn hat. Béid sinn Ausloossungen an der Konfiguratioun, a vum Stull vum Benotzer aus gesinn se gläich aus.

Keen vun de Feeler ass aus engem eenzegen erfollegräichen Test sichtbar. Dofir verdéngen déi zwou Entscheidungen getrennt Aschreiwungen an getrennt Tester, och wann déiselwecht Persoun béid hëlt.

Schreif béid op, ier den Déngscht live geet, well déi nächst Ännerung méi einfach ze bedenken wäert sinn. D'Aschreiwung ass kuerz: eng Linn fir den Numm a seng Zon, eng Linn fir déi zougeloosse Quelle an den Eegentemer vun der Regel.