Zwéin VPN, ee Resolver: dee lescht geschriwwen huet, gewënnt

Zwéi VPN-Clientë sinn ugeschloss, ee fir d'Aarbecht an ee fir en Labo-Netzwierk, an intern Nimm ginn nëmme fir dee Client opgeléist, dee sech lescht ugeschloss huet. Dëst Muster gesäit aus wéi e Fehler an engem vun de Clientë. Normalerweis ass et dat viraussiichtlecht Resultat vun zwee Programmer, déi déi selwecht Resolver-Konfiguratioun schreiwen, ouni sech drop ze eenegen, wiem wéi en Numm gehéiert.

De Mythos: dee neiste VPN besëtzt DNS

Et gëtt keng allgemeng Regel, datt déi lescht Verbindung gewënnt. Wat geschitt, hänkt vum Mechanismus vun der Plattform of a wéi all Client en schreift. E Client, deen eng Resolver-Datei ersetzt, gëtt een Resultat; e Client, deen pro Verbindung eng Domain bäisetzt, gëtt en anert; e Client, deen näischt mécht, léisst de viregen Zoustand intakt.

Also ass dat observéiert Verhalen eng Eegenschaft vun den zwou Implementatiounen, keng dokumentéiert Prioritéit. Schlussfolgerungen nëmmen aus der Startreihenfolge sinn heiansdo richteg a heiansdo falsch op eng Manéier, déi schwéier ze reproduzéieren ass. Schreift d'Kartéierung amplaz op. En Design, deen an zwee Clienten lieft, ass keen Design.

Kartéiert Nummraim op Resolveren

Lëscht déi privat Suffixen an de Resolver op, deen all Netzwierk brauch, a entscheet dann, wou ëffentlech Nimm higehien. Déi Lëscht ass den Design. Ouni si huelen d'Clienten d'Entscheedung zoufälleg.

Eng Plattform, déi DNS pro Verbindung oder Routing-Domaine ënnerstëtzt, kann d'Opdeelung bewosst ausdrécken: eng Domain geet op eng Verbindung, eng aner Domain op déi aner, an alles anescht follegt engem expliziten Standard. Zwou flaach Skripten, déi déiselwecht Datei iwwerschreiwen, kënnen deen Design net erhalen, well jidderee mengt, hie besëtz déi ganz Konfiguratioun.

Op Windows kann d'Nimmopteelungspolitikstabelle Suffixen op bestëmmte Servere leeden, an e VPN-Client kann do Reegele installéieren. Kontrolléiert d'Politik an net d'Adapterlëscht, well et ass net d'Adapterlëscht, déi den Numm opléist.

Halt e Bootstrap-Wee

All Client muss säin eegenen Endpunkt fannen, ier en de Service ka benotzen, deen deen Endpunkt ubitt. Wann den Hostnumm vum Endpunkt nëmmen duerch den Tunnel ka opgeléist ginn, an den Tunnel den opgeléisten Hostnumm brauch, hutt Dir eng zirkulär Ofhängegkeet, déi als Verbindungs-Zäitlimit erschéngt. Halt ee Bootstrap-Wee baussen de béiden Tunnelen. Et kascht näischt bis op den Dag, wou et d'Verbindung rett.

Kuckt de Wee zu all Resolver, net nëmmen den Numm, dee fir hie konfiguréiert ass. E Resolver, deen nëmmen duerch den aneren Tunnel erreechbar ass, verhält sech wéi wann e feelt, an de Symptom ass en Zäitlimit an net e Routingfehler.

Iwwerlappend Adressen sinn kee DNS-Problem

Zwee privat Netzwierker mat demselwe Adressberäich loosse sech net duerch DNS-Uerdnung reparéieren. Wann béid Tunnelen 10.0.0.0/8 behaapten, weist en Numm, dee korrekt opgeléist gëtt, ëmmer nach op eng Adress, op déi den Host net an de richtege Tunnel ka routeren. Dat brauch eng Léisung op Adressniveau, wéi verschidde Beräicher, en Nummraum oder Iwwersetzung, an net eng aner Resolver-Astellung. Dëst fréi ze entscheeden verhënnert en laangen Ëmwee duerch eng DNS-Konfiguratioun, déi ni hätt funktionéiert.

Vergläicht d'Adresszouweisunge vun béiden Tunnelen, ier Dir d'Nimmopteelung beschëllegt. Wann béid Säiten deeselwechte Präfix drécken, behält den Host eng eenzeg Route dofir, an en Numm, deen duerch den zweeten Tunnel opgeléist gëtt, lant nach ëmmer op enger Adress, déi den éischten Tunnel besëtzt. Verschidde Beräicher, en Nummraum pro Netzwierk oder Iwwersetzung sinn d'Korrekturen; nodeems all Client verbonnen ass, bestätegt, datt d'Routentabelle de Wee weist, deen Dir gemengt hutt.

Beweist et mat richtege Programmer

Wielt zwee Hosten, déi nëmmen an hirem eegenen Nummraum existéieren, an een ëffentlechen Numm, a léist dann all eenzel duerch de Client, deen hie solle besëtzen. Eng korrekt Äntwert vum erwaarte Resolver beweist net, datt d'Programm den Host erreecht, well de Wee zu där Adress nach ëmmer feele kann. Loosst all Sich duerch en Verbindungstest aus dem Programm suivéieren, deen de Benotzer tatsächlech ausféiert.

E Client mat senger eegener verschlësselter DNS-Optioun kann d'Politik ëmgoen, déi Dir just iwwerpréift hutt, dofir kontrolléiert dës Astellung als Deel vun der Iwwerpréiwung. Verbënnt dann béid Clienten erëm an der Uerdnung, déi de Verkeefer ënnerstëtzt, a widderhëlt d'Sichen; wann d'Äntwerten sech tauschen, wann d'Uerdnung sech ännert, besëtzt en anere Schreiwer nach en Deel vun der Konfiguratioun. Fannt eraus, wéi eng Komponent d'Regel installéiert - de Client, de Betribssystem-Profil oder en Administratiounsagent - ier Dir eppes ännert. Notéiert d'Uerdnung an d'Besëtzer, sou datt déi nächst Persoun se net missen erëm entdecken.