VPN-Endpunktnumm géint Numm vun engem private Service: zwee Verantwortlecher

Zwee Nimm kënnen déiselwecht Filial beschreiwen an op komplett ënnerschiddlech Froen äntweren. Den vpn.branch.example seet engem wäitem Peer wou den VPN-Endpunkt ze fannen ass, an en muss opgeléist ginn éier irgendeen Tunnel existéiert. Den inventory.branch.example seet engem autoriséierte Benotzer wou eng privat Applikatioun läit, an et ass just wichteg wann den Tunnel steet. Eent dovun ënnerhalen mécht näischt fir dat anert.

Nennt déi zwou Records éier Dir eng dovun debuggt

Schreift béid mat hiren Eigentümer op. Fir den Endpunkt notéiert Dir wien déi ëffentlech Adress aktualiséiert a wéi de VPN-Client seng Äntwert erfëscht. Fir de Service notéiert Dir wiem déi privat Adress gehéiert, wéi eng Zon de Record hält a wéi eng Resolveren drop äntwere sollen.

Dës kuerz Lëscht verhënnert déi heefegst falsch Diagnos an dësem Beräich: en funktionéierenden Filialtunnel nei ze starten fir e Record ze reparéieren deen komplett dobannen drun ass. Den Tunnel ass den Transport fir den Numm vum Service; hien ass net seng Autoritéit.

Wann eng Ännerung proposéiert gëtt, frot wéi eng vun den zwou Records se beréiert. Wann kee ka äntweren, ass d'Ännerung net prett fir ze plangen.

Den Endpunkt muss opgeléist ginn éier irgendeen Tunnel existéiert

Stellt Iech vir datt d'Internetsverbindung vun der Filial eng nei ëffentlech Adress kritt. Den Endpunkt-Update publizéiert déi nei Adress, an d'wäit VPN-Implementatioun muss déi geännert Äntwert liese kënnen. Wéi ee Resolver déi Äntwert och ëmmer liwwert, hie muss ouni den Tunnel erreechbar sinn, soss leeft de Client engem Numm nog deen hien eréischt opléise kann nodeems hie sech mat deem verbonnen huet wat hien net fënnt.

Dës Bootstrap-Ofhängegkeet ass et wäert kloer ze soen, well se liicht aus Versehen entsteet wann all intern Resolveren hannert dem VPN sëtzen. Halt e Wee virum Tunnel fir d'Endpunkt-Sich, a bestätegt d'Reconnect-Verhalen vum Client amplaz unzehuelen datt eng nei Äntwert direkt iwwerholl gëtt.

Dynamleschen DNS huet och Grenzen déi den Record-Update net ka passéieren. En Record aktualiséieren opmaacht keen Firewallport, erstellt keng NAT-Mapping a beweist keng Peer-Identitéit. Eng publizéiert Adress mat zouenem Port gëtt e Client deen korrekt opléist an awer net mat näischt verbonne kritt.

Schlussendlech kann en lafende Client en gecachte Endpunkt weider benotzen bis hien nees verbënnt. Trennt d'Publizéieren, de Cache an d'Reconnect-Politik an Ären Notizen, sou datt en veraltete Peer net mat engem futtissen Update verwiesselt gëtt.

Den Numm vum Service beschreift wou d'Applikatioun läit

Stellt Iech elo vir datt den Tunnel gesond bleift awer de Inventarserver vun 172.26.14.20 op 172.26.14.35 plënnert. De ëffentleche Endpunkt-Record ass net betraff, wärend de private Service-Record sech muss änneren. Eng Adress ze benotzen déi fir dee Service reservéiert ass, oder eng statesch Zousetzung, mécht dëst méi selten; en autoriséierte Update-Wee behënnelt d'Kéieren wou et gewollt ass.

Hei ginn zwee Update-Mechanismen vermëscht. RFC 2136 definéiert e Protokoll fir DNS-Records an enger Zon bäizesetzen an ze läschen, wärend en kommerziellen dynameschen DNS-Provider eng komplett aner HTTP-API fir en aneren Zweck ubitt. Eent ze benotzen heescht net datt dat anert an Ärer Ëmwelt existéiert. Iwwerpréift wéi ee Mechanismus Är Zon tatsächlech acceptéiert éier Dir en Update do dogéint schreift.

Eng korrekt privat Äntwert ass just déi éischt Bedingung. Fir datt en wäite Urheber se benotze kann, brauch de Client en Resolver deen déi privat Zon dréit, eng Politik déi Ufroe bei deen Resolver erlaabt, an eng Viruleedung fir d'Adress déi zréckkënnt. En Numm deen op eng Adress opléist déi de Client net erreeche kann, produzéiert en Timeout deen wéi e Serverfehler ausgesäit.

Test déi zwee Weeër getrennt

Préift den Endpunkt vun ausserhalb vum Tunnel an de Service vun dobannen, a behält d'Resultater als zwee onofhängeg Fakten:

$ dig +short vpn.branch.example @1.1.1.1
$ dig +short inventory.branch.example @172.26.0.53
$ ip route get 172.26.14.35

Wann déi éischt Ufro feelt, ass de Problem d'ëffentlech Publikatioun oder de Wee virum Tunnel, an keng intern Ännerung wäert hëllefen. Wann déi zweet eng Adress zréckgëtt awer déi drëtt keng Route duerch den Tunnel weist, ass d'DNS-Schicht an der Rei an d'Viruleedungspolitik net.

Runnt d'Paar no all Adressännerung a notéiert wéi ee Record geplënnert ass. Eng Iwwergab déi just seet «DNS gouf aktualiséiert» léisst den nächsten Ingenieur roden wéi ee vun den zwee Liewenszyklusen tatsächlech gelaf ass.