Du VPN, vienas resolveris: laimi tas, kuris rašė paskutinis

Prijungti du VPN klientai, vienas darbui, kitas laboratorijos tinklui, o vidiniai vardai sprendžiami tik tam klientui, kuris prisijungė paskutinis. Šis modelis atrodo kaip klaida viename iš klientų. Paprastai tai numatomas dviejų programų, rašančių tą pačią resolverio konfigūraciją be susitarimo, kam priklauso kuris vardas, rezultatas.

Mitas: naujausias VPN valdo DNS

Nėra bendros taisyklės, kad laimi naujausias ryšys. Kas atsitiks, priklauso nuo platformos mechanizmo ir nuo to, kaip kiekvienas klientas jį rašo. Klientas, pakeičiantis resolverio failą, duoda vieną rezultatą; klientas, pridedantis domeną kiekvienam ryšiui, duoda kitą; klientas, nieko nedarantis, palieka ankstesnę būseną nepakeistą.

Taigi stebimas elgesys yra dviejų įgyvendinimų savybė, o ne dokumentuotas prioritetas. Samprotauti vien iš paleidimo eilės kartais bus teisinga, o kartais klaidinga taip, kad sunku atkartoti. Užrašykite susiejimą. Dizainas, gyvenantis dviejuose klientuose, nėra dizainas.

Susiekite vardų erdves su resolveriais

Išvardykite privačias priesagas ir resolverį, kurio reikia kiekvienam tinklui, tada nuspręskite, kur turi eiti vieši vardai. Tas sąrašas yra dizainas. Be jo klientai sprendimą priima atsitiktinai.

Platforma, palaikanti DNS kiekvienam ryšiui arba maršrutizavimo domenus, gali tyčia išreikšti padalijimą: vienas domenas eina vienam ryšiui, kitas domenas kitam, o visa kita vadovaujasi aiškiu numatytuoju nustatymu. Du plokšti scenarijai, perrašantys tą patį failą, negali išsaugoti šio dizaino, nes kiekvienas tiki, kad jam priklauso visa konfigūracija.

Windows sistemoje vardų sprendimo politikos lentelė gali nukreipti priesagas į konkrečius serverius, o VPN klientas gali ten įdiegti taisykles. Tikrinkite politiką, o ne adapterių sąrašą, nes vardą sprendžia ne adapterių sąrašas.

Laikykite paleidimo kelią

Kiekvienas klientas turi rasti savo galinį tašką, kad galėtų naudoti paslaugą, kurią tas taškas teikia. Jei galinio taško pagrindinio kompiuterio vardą galima išspręsti tik per tunelį, o tuneliui reikia išspręsto vardo, turite ciklinę priklausomybę, kuri pasireiškia kaip ryšio skirtasis laikas. Laikykite vieną paleidimo kelią už abiejų tunelių. Jis nieko nekainuoja iki dienos, kai išgelbsti ryšį.

Žiūrėkite į kelią iki kiekvieno resolverio, ne tik į jam nustatytą vardą. Resolveris, pasiekiamas tik per kitą tunelį, elgiasi kaip trūkstamas, o simptomas yra skirtasis laikas, o ne maršrutizavimo klaida.

Persidengiantys adresai nėra DNS problema

Dviejų privačių tinklų, naudojančių tą patį adresų diapazoną, DNS tvarka nepataisys. Jei abu tuneliai reikalauja 10.0.0.0/8, teisingai išspręstas vardas vis tiek nurodo adresą, į kurį prieglobos sistema negali maršrutizuoti teisingo tunelio. Tam reikia sprendimo adreso lygmenyje, pavyzdžiui, skirtingų diapazonų, vardų erdvės ar vertimo, o ne dar vieno resolverio nustatymo. Ankstyvas šio sprendimo priėmimas išvengia ilgo apylankos per DNS konfigūraciją, kuri niekada nebūtų veikusi.

Palyginkite abiejų tunelių adresų priskyrimus prieš kaltindami vardų sprendimą. Kai abi pusės stumia tą patį prefiksą, prieglobos sistema laiko vieną maršrutą jam, o vardas, išspręstas per antrą tunelį, vis tiek nusileidžia adresu, kurį valdo pirmas tunelis. Skirtingi diapazonai, vardų erdvė kiekvienam tinklui arba vertimas yra pataisymai; po kiekvieno kliento prisijungimo patvirtinkite, kad maršrutų lentelė rodo numatytą kelią.

Įrodykite tai tikromis programomis

Pasirinkite du prieglobos kompiuterius, egzistuojančius tik savo vardų erdvėje, ir vieną viešą vardą, tada išspręskite kiekvieną per klientą, kuriam jis turėtų priklausyti. Teisingas laukiamo resolverio atsakymas neįrodo, kad programa pasiekia prieglobos kompiuterį, nes kelias į tą adresą vis tiek gali nepavykti. Po kiekvienos užklausos atlikite ryšio testą iš programos, kurią naudotojas iš tikrųjų paleis.

Klientas su savo šifruoto DNS parinktimi gali apeiti politiką, kurią ką tik patikrinote, todėl patikrinkite šį nustatymą kaip apžvalgos dalį. Tada iš naujo prijunkite abu klientus tvarka, kurią palaiko tiekėjas, ir pakartokite užklausas; jei pasikeitus tvarkai atsakymai apsikeičia, konkuruojantis rašytojas vis dar valdo dalį konfigūracijos. Prieš ką nors redaguodami išsiaiškinkite, kuris komponentas įdiegia taisyklę - klientas, operacinės sistemos profilis ar valdymo agentas. Užrašykite tvarką ir savininkus, kad kitas žmogus neturėtų jų atrasti iš naujo.