Privāts DNS nosaukums vai tikai IP? Izlemiet, pirms to kopīgojat

Divi jautājumi saplūst, kad privāts pakalpojums tiek atvērts attāliem lietotājiem. Pirmais ir, kādu nosaukumu klientiem vajadzētu izmantot; otrais ir, kādus avotus pakalpojumam vajadzētu pieņemt. Atbildiet uz tiem šajā secībā, jo pareizs nosaukums aiz nepareiza piekļuves noteikuma tomēr cieš neveiksmi, un pareizs noteikums aiz nosaukuma, kas neatrisinās, nekad netiek pārbaudīts.

Pirmais nosacījums: kāds atrisinātāja ceļš ir klientiem?

Privāts nosaukums darbojas tikai tad, ja klienta atrisinātājs spēj uz to atbildēt. Tas nozīmē, ka autorizētam attālam klientam jāsasniedz DNS serveris, kas tur zonu, vai nu pa tuneli, vai ar atrisinātāju, ko organizācija jau uztur attāliem lietotājiem. Tunelis ir transports, nevis katalogs. Tas dod klientam ceļu līdz atrisinātājam un nepasaka, kuru zonu jautāt.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Publisks atrisinātājs neiemācīsies privātu zonu tāpēc vien, ka klēpjdators pievienojās VPN.

Sufikss ir pelnījis tādu pašu uzmanību. Izmantojiet apakšdomēnu domēnam, ko organizācija kontrolē, lai īpašumtiesības un sertifikātu plānošana paliktu skaidras. Izvairieties no .local: multicast DNS specifikācija saista šo sufiksu ar link-local atrisināšanu, un maršrutēts tunelis šo uzvedību jūsu vietā neatkārto.

Otrais nosacījums: kādu avotu pakalpojums saņem?

Piekļuves noteikumi tiek rakstīti pret adresēm, tāpēc noderīgais jautājums ir, kuru adresi pakalpojums redz pēc maršrutēšanas un tulkošanas. Piemēra pakalpojumam adresē 10.20.30.40 biroja klienti nāk no 10.20.30.0/24, bet attālie klienti no atsevišķa pūla, piemēram, 10.99.0.0/24.

Ja vārteja tulko attālo pūlu, pakalpojums redz tulkotāju, un noteikums, kas rakstīts 10.99.0.0/24, nesakritīs.

Lasiet to no pakalpojuma puses, nevis no klienta puses. Klausītāja žurnāls vai pakešu uztveršana pakalpojuma hostā parāda avotu, kas patiešām ieradās; paša klienta adrese ir tikai minējums par to, kas izdzīvoja ceļā.

Trešais nosacījums: vai nosaukums ir piesaistīts pakalpojumam vai hostam?

Nosaukums, kas norāda uz vienas mašīnas adresi, piesaista katru klientu šai mašīnai. Nosaukums, kas norāda uz slodzes balansētāju vai stabilu pakalpojuma adresi, pārdzīvo aiz tā esošā hosta nomaiņu. Izvēlieties apzināti, jo to mainīt vēlāk nozīmē mainīt katra klienta grāmatzīmes un katra sertifikāta subjektu.

Vienam iekšējam pakalpojumam tiešs ieraksts parasti ir piemērots un vieglāk apdomājams.

Visam, kas tiks aizstāts, pārbūvēts vai mērogots, stabils priekšgals ir vērts papildu konfigurāciju. Tests ir vienkāršs: ja varat aizstāt aizmuguri, nepaziņojot lietotājiem, nosaukums ir piesaistīts pakalpojumam; ja nevarat, tas ir piesaistīts hostam.

Pārbaudiet abus lēmumus atsevišķi

Vispirms atrisiniet, tad savienojieties. Atrisināšanas tests, kas atgriež gaidīto adresi, pierāda nosaukuma ceļu un neko nepasaka par piekļuvi. Savienojuma tests pierāda ceļu un noteikumu kopā, tāpēc palaidiet to tikai pēc veiksmīgas atrisināšanas.

curl -sv --max-time 5 https://files.corp.example/health

Pēc tam vienreiz pārbaudiet aizliegtu avotu un pierakstiet rezultātu.

Turiet abus ierakstus atsevišķi savā dokumentācijā: nosaukumu un tā zonu, pieņemtos avotus un noteikuma īpašnieku. Kad viens mainās, otram nav jāmainās.

Kur lēmums parasti nogrēkojas

Bieža kļūme ir pakalpojums, kas publicēts ar nosaukumu, kurš atrisinās tikai biroja tīklā, ar piekļuves noteikumu, kas pieņem tikai biroja diapazonu. Tad attālie lietotāji ziņo par salauztu pakalpojumu, kas patiesībā ir divi atsevišķi izlaidumi. Otra bieža kļūme ir pretēja: plašs piekļuves noteikums, kas pievienots, lai novērstu nosaukuma problēmu, atstāj pakalpojumu sasniedzamu no avotiem, ko neviens nebija domājis. Abi ir konfigurācijas izlaidumi, un no lietotāja krēsla tie izskatās vienādi.

Neviena kļūda nav redzama no viena veiksmīga testa. Tāpēc abi lēmumi ir pelnījuši atsevišķus ierakstus un atsevišķus testus, pat ja tos pieņem viena un tā pati persona.

Pierakstiet abus pirms pakalpojuma palaišanas, jo nākamo izmaiņu būs vieglāk apdomāt. Ieraksts ir īss: viena rinda nosaukumam un tā zonai, viena rinda pieņemtajiem avotiem un noteikuma īpašniekam.