Firwat en SRV-Andrag nëmmen engem Client hëlleft, deen en selwer frot

En SRV-Andrag an Är Zon derbäisetzen léiert keen VPN-Client en ze sichen. De Client muss de Label kennen, decidéieren d’Ufro ze schécken an handelen no deem, wat zréckkënnt, an DNS ka vun deenen zwee éischt net liwweren. Dofir si meescht gescheitert SRV-Pläng Clientproblemer an engem DNS-Kostüm. Liest d’Entdeckungsverhalen vum Client als éischt, a publizéiert dann nëmmen de Label, deen en tatsächlech frot.

En Andrag, deen keen frot, kann keenem hëllefen

SRV publizéiert de Standuert vun engem Déngscht; en annoncéiert en net. Näischt stéisst en Andrag op en Client zou, an keen Opléiser bitt en Numm un, deen ni gefrot gouf. D’Sich fänkt un, wann d’Applikatioun decidéiert se ze maachen, also muss de Label aus der Produktdokumentatioun oder aus der Observatioun vun der Software am Netz kommen. Wou de Client keen Entdeckungsschrack huet, ännert en Andrag d’Zon an näischt anescht.

Dofir kann ee Produkt an engem Netz ufänken ze funktionéieren, während en anert vun der selwechter Ännerung net betraff ass. D’Variabel ass d’Software, an den DNS-Server mécht genee dat, wat him gesot gouf. Liest d’Zon och no der Ännerung zréck, well en falsch getippte Label sech liicht tëscht Andräg verstoppt, déi all gläich ausgesinn.

Liest d’Felder, ier Dir se schreift

En Andrag dréit véier Wäerter, a jiddwereen äntwert eng aner Fro: d’Prioritéit ordnet d’Ziler, déi en Client probéiere kann, d’Gewiicht deelt d’Laascht tëscht Ziler mat gläicher Prioritéit, den Hafe benennt den Transport-Hafen, an d’Zil benennt den Host. D’Spezifikatioun erlaabt och en Zil vun ., fir ze bedeiten, datt den Déngscht bewosst net verfügbar ass, wat eng nëtzlech Äntwert an net eng futti ass.

Keen vun dëse Felder dréit Umellungsdonnéeën, eng Zertifikatspolitik oder eng Applikatiounsversioun, an e Client, deen d’Gewiicht ignoréiert, verbënnt sech nach ëmmer, just ouni déi virgesinn Gläichgewiicht. D’Zil brauch seng eege Adressandräg, an et sollt en kanoneschen Numm sinn an net en Alias. En Andrag publizéieren, deen op en Host ouni Lauschterer weist, entsteet eng Verbindungsfehler, déi wéi en DNS-Fehler gelies gëtt, an dat ass déi deierst Aart vu Misleading. Publizéiert déi ganz Kette oder näischt dovun.

Fannt de Label, deen de Client tatsächlech schéckt

Bestëmmt de Label aus Beweiser an net aus enger Vermutung iwwer den Numm vum Produkt. Entweder nennt d’Dokumentatioun den Déngschtnumm, oder eng Opnam weist d’Ufro, déi de Client beim Start verléisst. Béid Weeër enden um selwechte Punkt: en exakten Numm an Typ, fir géint den Opléiser ze testen.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Vergläicht d’Äntwert mam Andrag, deen Dir publizéiert hutt, Charakter fir Charakter, well d’Ënnersträicher an de Punkt um Enn Deel vum Numm sinn. Eng eidel Äntwert op eng Ufro, déi tatsächlech geschéckt gouf, weist op d’Zon, während guer keng Ufro op de Client weist, an déi Fundsteller schécken Iech zu verschidden Teams. Eng richteg Äntwert gesäit aus wéi d’Linn hei ënnen, wou d’Prioritéit 20 géint all Andrag mat niddereger Prioritéit verléiert an de Client den Hafen 8443 um genannte Zil wielt.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

D’Zil muss och existéieren

En Zil, dat sech opléist, ass net datselwecht wéi en Déngscht, deen äntwert. Kontrolléiert d’Adressandräg vum Zil, a kontrolléiert dann, datt eppes um publizéierten Hafen a Protokoll lauschtert. En TCP-Andrag, deen op engem Lauschterer weist, deen nëmmen UDP ass, ass eng Onstëmmegkeet, déi keng Zoneännerung reparéiert. Halt d’TTL kuerz, wärend d’Zil am Floss ass, a verlängert se, wann den Numm ophält sech ze beweegen.

Clienten, déi d’Entdeckung tatsächlech ëmsetzen, ënnerscheede sech doran, wéi vill vum Andrag se respektéieren. E puer benotzen nëmmen d’Prioritéit, e puer behandelen d’Gewiicht als Rot, an e puer ignoréieren den Hafen an huelen e Standard un. Déi Ënnerscheeder gehéieren an Är Notizen nieft dem Label, well se Verhalen erklären, dat soss wéi en Opléiserfehler ausgesäit.

Entdeckung ass keng Authentifikatioun

Eng SRV-Äntwert seet, wou ee sech verbënnt, an se seet näischt driwwer, wiem een no der Arrivée vertraut. Loosst dem Client seng Zertifikatsvalidéierung an d’Server-Identitéitskontrollen genau sou wéi se waren, well en Andrag, deen en aneren fälschen kann, sollt keng Vertrauensentscheedung ginn. DNS-Äntwerten si cachebar a vun all dee kontrolléiert, dee d’Zon kontrolléiert, änderbar, wat se zu enger schlechter Plaz mécht, fir Politik z’encodéieren.

Fir e Client ouni Entdeckungsënnerstëtzung verdeelt de Profil oder d’Gateway-URL, déi en akzeptéiert, a notéiert, wéi ee Produkt wéi eng Method benotzt. Déi Notiz verhënnert, datt den nächsten Administrateur en Andrag derbäisetzt an erwaart, datt en iwwerall funktionéiert. D’SRV-Spezifikatioun beschreift d’Auswiel tëscht Ziler, an se als Autorisatiounsmechanismus ze liesen ass de Wee, wéi en hëllefräichen Andrag zu enger Sécherheetsannahm gëtt. Publizéiert bewosst, nennt de Label an Ärer Dokumentatioun, a behandelt de Client als déi Komponent, déi entscheet, ob dat alles Bedeitung huet.