Firwat Är Split-Tunnel-Reeg opgehalen huet mat enger Servicer ze passen

D'Reeg fixéiert e Prefix an de Service ass geplënnert. Liest d'Destinatioun, déi d'App wierklech benotzt, a reparéiert duerno de Mechanismus, amplaz d'Ausnam ze verbreeden.

Split-Tunneling schléit meeschtens op eng vun zwou Manéieren. Entweder de Verkéier, deen am Tunnel soll sinn, geet drëmser, oder de Verkéier, deen dobausse soll bleiwen, gëtt eragezunn. De Feeler vun der aler Reeg ass déi éischt Aart, an et ass déi verwirrendste, well d'Reeg genau sou duerchgesat gëtt wéi se geschriwwe gouf. Wat sech geännert huet ass den Destinatioun: de Service äntwert elo op enger Adress, déi d'Reeg ni genannt huet, an am Tunnel ass näischt falsch.

Wat d'Reeg fixéiert a wat DNS zréckgëtt

Eng Split-Tunnel-Reeg ass eng statesch Ausso iwwer Destinatiounen, meeschtens als Prefix, Route oder Adresslëscht ausgedréckt. Se gëtt beim Schécke géint den Destinatioun vum Paket bewäert. En Hostnumm ass eng Sich, déi eng Rei vun Adressen mat enger Liewensdauer an engem Cache zréckgëtt, an d'Äntwert kann no Resolver, no Ufrotyp an no Minutt ënnerschiddlech sinn.

Déi zwou Objeten handelen ni mateneen. D'Reeg passt weider op de Prefix, deen se kritt huet, de Service ännert weider d'Adress, déi en ausgëtt, an de Spalt tëschent hinnen wäert sech roueg. Dofir erschéngt de Symptom no enger Provider-Migratioun oder enger Zertifikats-Erneierung an net no enger Konfiguratiounsännerung. Et huet een den Tunnel net geännert, also kuckt een net op den Tunnel, an d'Diagnos dréit Richtung Applikatioun amplaz Politik.

Dräi Weeër wéi d'Passung brécht

Den offensichtleche Fall ass e geplënnerten Service: den Operateur huet him eng nei Adress ginn, DNS ass gefollegt, an d'Ausnam net. Den zweete ass eng Adressfamill, déi d'Reeg ni ofgedeckt huet, wat geschitt wann en Numm ufänkt AAAA-Records zréckzeginn, déi eng Ausnam nëmme fir IPv4 ignoréiert. Den drëtten ass en Ënnerscheed beim Resolver: eng intern Vue an eng ëffentlech Vue kënnen ënnerschiddlech Adressen fir deen selwechten Numm zréckginn, also ass d'Adress, déi Är App benotzt, net déi mat där Dir getest hutt.

Eng gecachte Verbindung ass eng véiert Variant an et ass liicht se ze verpassen. D'Applikatioun schwätzt vläicht nach mat enger Adress, déi se virun enger Stonn opgeléist huet, wat bedeit datt Är frësch Sich an hire oppene Socket net eens sinn, wou de Service wunnt.

Liest den Destinatioun, deen d'App wierklech benotzt

Frot d'Betribssystem an d'Socket-Tabell, net en Browser-Tab. D'Sich beäntwert, wourop den Numm just elo opléist, an d'Socket-Tabell weist d'Adress, mat där de Prozess verbonnen ass, déi méi al ka sinn. Fuert béides aus, ier Dir eng Theorie bildt, well den Ënnerscheed tëschent hinnen an ongeféier der Halschent vun de Fäll selwer d'Äntwert ass.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Vergläicht dann mat deem, wat d'Reeg ofdeckt. Wann déi aktuell Adress baussent der Ausnam fällt an d'Ufro nach ëmmer feelt, hutt Dir d'Ursaach fonnt ouni d'Tunnelkonfiguratioun ze beréieren. Wann d'App mat enger Adress verbonnen ass, déi zur Reeg passt, an d'Ufro nach ëmmer feelt, läit de Problem hannert dem Tunnel an dëst ass déi falsch Ënnersich.

Reparéiert de Mechanismus, net de Symptom

Wann de Produkt ënnerhalene domainbaséierte Steering ënnerstëtzt, benotzt en a befollegt säi dokumentéierte Refresh- a Geltungsberäichsverhalen. Dat ersetzt eng statesch Schätzung duerch eng ënnerhalen Äntwert, zum Präis datt d'Funktioun dokumentéiert funktionéiere muss.

Wann den Design op enger statescher Lëscht berout, gitt hir en Eegentümer an en Updateplang. De Plang soll soen, wéi d'Adress entdeckt gëtt, wien d'Ännerung genehmegt a wéi séier d'Lëscht enger Provider-Migratioun soll follegen. Eng Lëscht ouni Eegentümer ass eng zukünfteg Stéierung mat enger bekannter Ursaach.

Verbreet d'Ausnam net op en grousst Nopeschnetz just fir all Adress ze fänken, déi Dir an engem kuerzen Test gesinn hutt. Dat ass keng Reparatur; et ass eng permanent Ännerung vun der Sécherheetsgrenz, an et wäert onverbonne Servicer roueg erlaaben den Tunnel ze ëmgoen, soulaang d'Reeg existéiert.

Verifizéiert béid Hälften vun der Absicht

En Split-Tunnel-Design huet zwou Absichten, an eng Reparatur soll béid erhalen. De geschützte Service muss duerch den Tunnel goen, an déi ausgeschlossene Kategorien mussen drëmser weidergoen. Test eng frësch Verbindung zu der reparéierter Destinatioun, dann test eppes, wat dobausse soll bleiwen.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Schreift déi nei Adress, de gewielte Mechanismus an den Datum op. Dee Notiz ass et, deen déi nächst Persoun dovun ofhält ze schléissen, datt d'VPN seng eege Konfiguratioun zoufälleg ignoréiert huet.

Ähnlech Artikelen