VPN galinių taškų leidimų sąrašas: pamirštas DNS atnaujinimas

Įrašius vpn.example.com į ugniasienės išimtį atrodo, kad prenumeruojate DNS. Dažniausiai įvyksta vertimas įkeliant, po to taisyklė laiko adresus ir niekas jų neatnaujina. Dabar du komponentai dalijasi darbu: atsakantis sprendėjas ir sauganti ugniasienė. Dauguma galinių taškų sutrikimų prasideda ten, kur šis perdavimas niekada nebuvo suprojektuotas.

Pagrindinio kompiuterio vardas taisyklėje nėra gyva prenumerata

Kai kurie įrankiai išsprendžia vardą įkeliant konfigūraciją; kiti laiko pagrindinio kompiuterio vardą ir išsprendžia jį iš naujo pagal savo grafiką; dar kiti priima tik adresus. Matoma konfigūracija retai nurodo, kuris atvejis. Dokumentacijos pavyzdžiai paprastai daro prielaidą apie įkėlimo atvejį, todėl perkėlimo metu šis skirtumas nustebina žmones. Perskaitykite įgyvendinimo elgseną prieš manydami, kad adreso pakeitimas bus pastebėtas, nes pasenęs leidimų sąrašas atrodo lygiai taip pat kaip veikiantis kol galinis taškas nepersikelia.

Taisyklė, įvardijanti teisingą pagrindinį kompiuterį, vis tiek gali leisti neteisingą adresą. Šis tarpas yra mitas, o ne rašybos klaida.

Talpyklos TTL nėra jūsų ugniasienės laikmatis

DNS įrašai turi galiojimo laiką, o sprendėjai tuo laikotarpiu talpykloje saugo atsakymus. DNS specifikacija apibrėžia šią talpyklos elgseną, bet ji reglamentuoja DNS duomenis, o ne atskirą ugniasienės adresų saugyklą. Trumpas TTL nesukuria atnaujinimo užduoties ten, kur jos nėra. Talpinimas vyksta ir daugiau nei viename sluoksnyje, todėl terminalo matomas atsakymas gali būti ne tas, kurį matė ugniasienė.

Užduokite tikram produktui tris klausimus: kada jis išsprendžia, kur saugo rezultatą ir kas sukelia atnaujinimą. Jei atsakymas yra tik įkėlimo metu, ilga sesija gali pergyventi adresą, į kurį ji buvo priimta.

dig +short vpn.example.com
resolvectl query vpn.example.com

Suprojektuokite atnaujinimą ir gedimą kaip vieną politiką

Prižiūrima išimtis reikalauja aiškių atsakymų: kas sukelia atnaujinimą prieš klientui pasirenkant naują adresą, kaip leidžiamas rinkinys keičiasi neatveriant plataus laikino lango, ir kada pašalinami pasenę įrašai. Užrašykite šiuos atsakymus šalia taisyklės.

Gedimo elgseną pasirinkite sąmoningai. Seno adreso laikymas gali išsaugoti sesiją ir palikti pasenusį leidimą; rinkinio išvalymas gali sutrikdyti atkūrimą. Nė vienas neturėtų būti atsitiktinis nepavykusios užklausos rezultatas. Pasirinktą elgseną užrašykite runbook, kad kitas operatorius nespėliotų esant spaudimui.

Palaikykite siaurą ir paleidimo DNS. Besąlyginė viešojo sprendėjo išimtis yra tiesioginis DNS kelias viskam, ką ji atitinka, o ne tik galinio taško vardui.

Įrodykite galinio taško pasikeitimą, o ne pirmąjį prisijungimą

Naudokite palaikomą kliento tvarkyklę, jei ji jau koordinuoja sprendimą ir blokavimą. Svetainės valdomame PF pagrindiniame kompiuteryje išlaikykite svetainės nuosavybę ir atkūrimo planą, o ne kopijuokite pagrindinio kompiuterio vardų lentelės sintaksę iš kitos platformos, turinčios kitokią gyvavimo ciklo elgseną.

Su patvirtintu, nekenksmingu testu palyginkite kliento pasirenkamą adresą su aktyviu leidžiamu rinkiniu prieš kontroliuojamą pakeitimą ir po jo. Apimkite nepavykusią užklausą, įrašo, kuris nebėra galiojantis, trynimą ir, kai palaikoma, kitą adresų šeimą. Numatytas tunelis turėtų atsistatyti, o nesusijęs tiesioginis srautas likti pagal politiką. Sėkmingas pirmasis prisijungimas įrodo tik tai, kad pradinis vertimas atsitiktinai buvo teisingas.